zákon č. 18/2018 Z. z. o ochrane osobných údajov

Účelom návrhu zákona o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „návrh zákona“) je dosiahnuť súlad vnútroštátneho právneho poriadku pre oblasť ochrany osobných údajov s Nariadením Európskeho parlamentu a rady (EÚ) č. 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119,4.5.2016) (ďalej len „nariadenie“), ktoré vstúpilo do platnosti dňa 24. mája 2016 s dvojročným prechodným obdobím na zosúladenie sa s vnútroštátnymi právnymi poriadkami členských štátov, teda aj právnym poriadkom Slovenskej republiky. Nariadenie sa začne uplatňovať od 25. mája 2018. Nariadenie ruší smernicu Európskeho parlamentu a Rady 95/46/ES o ochrane jednotlivcov pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 23.11.1995) v znení (Ú. v. ES L 284, 31.10.2003) (ďalej len „smernica 95/46“).
Návrhom zákona sa zároveň transponuje Smernica Európskeho parlamentu a rady (EÚ) č. 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 4.5.2016) (ďalej len „smernica“) do právneho poriadku Slovenskej republiky.
Nariadenie a smernica vytvárajú nový modernizovaný právny rámec ochrany osobných údajov, ktorý má za cieľ zabezpečiť rešpektovanie základných práv a slobôd, predovšetkým práva na ochranu osobných údajov v prostredí nových a stále častejšie používaných informačných a komunikačných technológií a zároveň podporiť posilňovanie a zbližovanie ekonomík členských štátov Európskej únie v rámci vnútorného trhu Európskej únie. Nový právny rámec ochrany osobných údajov zohľadňuje zmeny v oblasti spracúvania osobných údajov za obdobie viac ako dvadsiatich rokov od prijatia smernice 95/46.
V súčasnosti sa osobné údaje v omnoho väčšej miere spracúvajú tak v rámci verejného, ako aj súkromného sektora a vykonáva sa ich „prenos“ prostredníctvom informačno - komunikačných technológií, tak v rámci krajín Európskej únie, ako aj do tretích krajín, či už zaručujúcich alebo nezaručujúcich primeranú ochranu osobných údajov na základe rozhodnutí Európskej Komisie o primeranosti a tiež medzinárodným organizáciám. Nemožno opomenúť ani rozšírenie globálneho podnikania, výskyt materských spoločností a ich dcérskych spoločností so sídlom a prevádzkarňami v rôznych krajinách sveta a s tým spojeného globálneho spracúvania a prenosov osobných údajov.
Zmeny nastali aj v oblasti uchovávania osobných údajov; osobné údaje sú uchovávané postupne stále viac v elektronickej podobe prostredníctvom tzv. „cloudových služieb“. Úložiská osobných údajov, tzv. „cloudy“, sa často nachádzajú mimo územia Európskej únie alebo Európy. Návrh zákona prináša komplexnú, prepracovanú a precizovanú úpravu práv dotknutých osôb.
Spracúvanie osobných údajov je potrebné a nevyhnutné aj na účely zabezpečenia činnosti orgánov verejnej moci spojených s plnením ich funkcií podľa zákona. Je potrebné zabezpečiť ochranu osobných údajov v súlade s medzinárodnými záväzkami Slovenskej republiky a ústavnými garanciami. Z tohto dôvodu predkladaný návrh zákona je implementačným aktom pre nariadenie a zároveň sa ním transponuje do právneho poriadku smernica. Návrh zákona predstavuje komplexný právny rámec ochrany osobných údajov pre spracovateľské operácie s osobnými údajmi, ktoré sa vykonávajú v rámci činností, ktoré nespadajú do pôsobnosti práva Európskej únie, a ktorý je zosúladený a do najvyššej možnej miery konzistentný s právnou úpravou ochrany osobných údajov v nariadení. Týmto postupom sa predchádza vytvoreniu právneho vákua v oblasti ochrany osobných údajov, keďže návrhom zákona bude zrušený zákon č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení zákona č. 84/2014 Z. z. a dve vyhlášky úradu k nemu prislúchajúce.
Ochrana osobných údajov sa dotýka celého právneho poriadku Slovenskej republiky, návrh zákona zabezpečuje prostredníctvom priamych noviel súlad identifikovaných osobitných právnych predpisov upravujúcich spracúvanie osobných údajov s návrhom zákona, nariadením, ako aj smernicou. Takto bude zaistený plynulý výkon činností a úloh dotknutých subjektov, vrátane požiadaviek vyplývajúcich zo smernice pre tzv. „príslušné orgány“.
Na úrovni európskeho práva a medzinárodnej spolupráce si prijatím novej právnej úpravy Slovenská republika splní svoje záväzky vyplývajúce jej z členstva v Európskej únii. Nezosúladenie vnútroštátneho právneho poriadku s nariadením a netransponovanie smernice by mohlo byť Európskou komisiou považované za nesplnenie povinností vyplývajúcich Slovenskej republike z primárneho práva Európskej únie (Zmluva o Európskej únii a Zmluva o fungovaní Európskej únie), následne by Európska komisia na základe článku 258 Zmluvy o fungovaní Európskej únie mohla predložiť túto záležitosť Súdnemu dvoru Európskej únie.
Súčasný legislatívny rámec úpravy všeobecnej ochrany osobných údajov tvoria najmä tieto právne predpisy: ústavný zákon č. 460/1992 Zb. Ústava Slovenskej republiky v znení neskorších predpisov, zákon č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení zákona č. 84/2014 Z. z. (ďalej len „zákon č. 122/2013 Z. z.“), vyhláška č. 164/2013 Z. z. Vyhláška Úradu na ochranu osobných údajov Slovenskej republiky o rozsahu a dokumentácii bezpečnostných opatrení v znení vyhlášky úradu č. 117/2014 Z. z., vyhláška č. 165/2013 Z. z. Vyhláška Úradu na ochranu osobných údajov Slovenskej republiky, ktorou sa ustanovujú podrobnosti o skúške fyzickej osoby na výkon funkcie zodpovednej osoby, zákon č. 40/1964 Zb. Občiansky zákonník v znení neskorších predpisov.
Cieľom novej právnej úpravy je zabezpečiť jednotnú právnu reguláciu ochrany osobných údajov v právnom poriadky Slovenskej republiky a zaistiť tak výkon práv dotknutých osôb a kontrolu nad spracúvaním ich osobných údajov a tak podporiť dôveru dotknutých osôb v právny rámec zabezpečujúci ich základné ľudské práva, najmä právo na súkromie a tiež upraviť práva a povinnosti prevádzkovateľov a sprostredkovateľov s dôrazom na materiálne plnenie stanovených povinností a zaistenie reálnej bezpečnosti spracúvania osobných údajov. Návrh zákona upravuje úlohy a právomoci úradu, ako dozorného orgánu nad ochranou osobných údajov vrátane ich rozšírenia pre oblasť vzájomnej spolupráce medzi dozornými orgánmi v jednotlivých členských štátoch Európskej únie. Návrhom zákona dochádza k potrebnej aktualizácii terminológie v rámci právneho poriadku Slovenskej republiky spojenej so spracúvaním osobných údajov a nových spôsobov spracúvania.
Nová právna úprava preto v prvej a druhej časti navrhovanej právnej úpravy stanuje pravidlá spracúvania osobných údajov pre prevádzkovateľov a sprostredkovateľov, na ktoré sa nevzťahujú pravidlá ochrany fyzických osôb pri pracúvaní osobných údajov a pravidlá týkajúce sa voľného pohybu osobných údajov podľa nariadenia.
Tretia časť navrhovanej právnej úpravy stanuje pravidlá spracúvania osobných údajov pre prevádzkovateľov, ktorými sú príslušné orgány pri spracúvaní osobných údajov na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií na základe transpozície smernice.
Štvrtá časť navrhovanej právnej úpravy vo svojich ustanoveniach je tzv. implementačnou/vykonávacou časťou zákona, ktorá dopĺňa osobitné pravidlá spracúvania osobných údajov stanovené nariadením. Návrh zákona vo vzťahu k spracúvaniu v rámci tejto časti upravuje spracovateľské operácie, ktoré nariadenie výslovne ukladá alebo umožňuje jednotlivým členským štátom upraviť osobitnou vnútroštátnou úpravu; ide o úpravu členského štátu využijúc tzv. splnomocňujúce ustanovenia nariadenia. Konkrétne ide o osobitné úpravy spracúvania osobných údajov upravujúce pravidlá spracúvania osobných údajov na akademické, umelecké, literárne účely; pravidlá spracúvania osobných údajov v súvislosti so zamestnaním; spracúvanie národného identifikačného čísla a prenos osobitnej kategórie osobných údajov do tretích krajín, ktoré nezaručujú primeranú úroveň ochrany osobných údajov, spracúvanie genetických údajov, biometrických údajov a údajov týkajúcich sa zdravia; ako aj úprava spracúvania osobných údajov na vedecké účely, účely historického výskumu alebo štatistické účely. Zároveň nariadenie určuje členským štátom prijať pravidlá týkajúce sa postavenia a organizácie dozorného orgánu v rámci vnútroštátneho právneho poriadku členského štátu, ako aj procesné pravidlá pre výkon kontroly a konania o ochrane osobných údajov dozorným orgánom.
Piata časť návrhu zákona je venovaná úradu, jeho pôsobnosti, právomociam a jeho personálnemu aparátu. Je venovaná tiež kódexom správania, certifikátom, procesu akreditácie, monitorujúcemu a certifikačnému subjektu. Tretia hlava piatej časti je venovaná kontrole, štvrtá hlava konaniu o ochrane osobných údajov. Piata hlava je venovaná pokutám, správnym deliktom a poriadkovým pokutám, teda sankciám.
Šiesta časť upravuje spoločné, prechodné a záverečné ustanovenia.
Nasledujú novelizačné články priamych noviel, od čl. II po čl. XIII, článok XIV ustanovuje predpokladanú účinnosť návrhu zákona.
Návrh zákona zachováva zásady spracúvania osobných údajov doteraz uplatňované v zákone č. 122/2013 Z. z.
Vo vzťahu k právnym základom spracúvania stanovuje návrh zákona tieto prípady zákonného spracúvania
spracúvanie na základe súhlasu dotknutej osoby
spracúvanie bez súhlasu dotknutej osoby na účely nevyhnutné na plnenie zmluvy, ak zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzavretím zmluvy,
spracúvanie nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;
spracúvanie nevyhnutné, na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby;
spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;
spracúvanie nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa, pričom tento právny základ sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh;
spracúvanie nevyhnutné na účely akademické, umelecké, literárne alebo na účely informovania v masovokomunikačných prostriedkoch;
prevádzkovateľ, ktorý je zamestnávateľom dotknutej osoby, je oprávnený sprístupniť, poskytovať alebo zverejniť jej osobné údaje v rozsahu titul, meno, priezvisko, pracovné, služobné alebo funkčné zaradenie, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo alebo elektronická pošta na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením pracovných, služobných alebo funkčných povinností dotknutej osoby. Sprístupnenie, poskytovanie alebo zverejnenie osobných údajov nemôže narušiť vážnosť, dôstojnosť a bezpečnosť dotknutej osoby.
prevádzkovateľ môže spracúvať genetické údaje, biometrické údaje a údaje týkajúce sa zdravia aj na právnom základe uvedenom v osobitnom predpise alebo medzinárodnej zmluve, ktorou je Slovenská republika viazaná;
právne základy uvedené v súvislosti so spracúvaním osobitnej kategórie osobných údajov (rasový a etnický pôvod, politické názory, náboženské a filozofické presvedčenie alebo členstvo v odborových organizáciách, genetické údaje, biometrické údaje na individuálnu identifikáciu fyzickej osoby, údaje týkajúce sa zdravia, údaje týkajúce sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby).
Nová právna úprava výslovne stanovuje, že súhlas dotknutej osoby musí byť jasne oddeliteľný od iných podmienok a dojednaní a tiež, že súhlas dotknutej osoby je možné kedykoľvek odvolať bez uvedenia dôvodu. Zároveň sa stanuje veková hranica pre zákonné spracúvanie osobných údajov detí v súvislosti s ponukou služieb informačnej spoločnosti.
Novým legislatívnym rámcom sa posilňujú práva dotknutých osôb. Vyžaduje sa informačná povinnosť smerom k dotknutej osobe v širšom rozsahu, ktorá umožňuje jednoduchší výkon práv dotknutých osôb. Dotknutým osobám sa explicitne garantujú práva doteraz vyplývajúce iba z judikatúry alebo aplikačnej praxe dozorných orgánov (právo na prístup k údajom vrátane kópií spracúvaných osobných údajov, právo na zabudnutie, právo na obmedzenie spracúvania) a tiež sa upravujú a stanovujú nové práva (právo na prenosnosť údajov).
Návrhom zákona sa zrušujú administratívne povinnosti prevádzkovateľov spojené so spracúvaním osobných údajov plnené ex ante, pred začatím spracúvania, a to oznamovacia povinnosť, povinnosť osobitnej registrácie a evidenčná povinnosť. Nahrádzajú sa novými inštitútmi, ktoré zdôrazňujú materiálne, nie formálne zabezpečenie súladu spracúvania osobných údajov s právnymi predpismi a spočívajú v prijatí resp. realizácii opatrení na zaistenie bezpečnosti osobných údajov primeraných rizikám, ktoré sú s konkrétnymi spracovateľskými operáciami spojené (záznamy o spracovateľských činnostiach, posúdenie vplyvu na ochranu údajov). Vo vzťahu k úradu a dotknutým osobám sa stanovuje nová povinnosť, oznamovať zistené a preukázané porušenie ochrany osobných údajov zo strany prevádzkovateľov. Návrhom zákona sa tiež zrušuje povinnosť úspešného absolvovania skúšky pred úradom na výkon funkcie zodpovednej osoby, i keď podmienka odborných kvalít a spôsobilosti osoby na výkon funkcie zodpovednej osoby ostáva zachovaná. Stanovujú sa prípady, kedy je určenie zodpovednej osoby obligatórne.
Návrh zákona reflektuje tiež existenciu nových nástrojov zaistenia bezpečnosti osobných údajov v zariadeniach, v ktorých sú dnes už bežne spracúvané osobné údaje (napríklad mobilné telefóny, tablety, počítačové programy, mobilné aplikácie), ide o tzv. špecificky navrhnutú a štandardnú ochranu údajov, primerané politiky ochrany osobných údajov, certifikáciu a prijatie a dodržiavanie schválených kódexov správania. Návrh zákona splnomocňuje úrad na vydanie vykonávacích podzákonných predpisov, ktorými sa ustanovia podrobnosti týkajúce sa výkonu niektorých činností úradu alebo stanovia spresňujúce informácie; vykonávacími predpismi sa nebudú ukladať nové práva, povinnosti a právomoci nad rámec navrhovaného zákona.
Návrh zákona má pozitívny a súčasne negatívny vplyv na rozpočet verejnej správy, má pozitívny a aj negatívny vplyv na podnikateľské prostredie, pozitívne sociálne vplyvy a má pozitívny vplyv na informatizáciu spoločnosti. Je bez vplyvu na životné prostredie. Podrobnosti o dopadoch návrhu zákona je možné vidieť v priložených analýzach vplyvov a celkové zhodnotenie v Doložke vybraných vplyvov k návrhu zákona.
Návrh zákona nie je predmetom vnútrokomunitárneho pripomienkového konania.
Návrh zákona je v súlade s Ústavou Slovenskej republiky, ústavnými zákonmi, nálezmi Ústavného súdu Slovenskej republiky, medzinárodnými zmluvami, ktorými je Slovenská republika viazaná, zákonmi Slovenskej republiky a zároveň je v súlade s právom Európskej únie.
Navrhovaná právna úprava rešpektuje a odráža medzinárodné záväzky Slovenskej republiky v oblasti ochrany osobných údajov, a to najmä Dohovor o ochrane ľudských práv a základných slobôd v znení protokolov (Oznámenie Federálneho ministerstva zahraničných vecí č. 209/1992 Zb. v znení neskorších predpisov), Dohovor o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov týkajúci sa orgánov dozoru a cezhraničných tokov údajov (oznámenie Ministerstva zahraničných vecí Slovenskej republiky č. 49/2001 Z. z.), Dodatkový protokol k Dohovoru o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov týkajúci sa orgánov dozoru a cezhraničných tokov údajov (oznámenie Ministerstva zahraničných vecí Slovenskej republiky č. 20/2005 Z. z.).
V rámci všeobecnej ochrany osobných údajov predpisovej základne Slovenskej republiky sa bude uplatňovať:
pre spracúvanie osobných údajov v rámci činností, ktoré podliehajú právu Európskej únie tak nariadenie, ako aj návrh zákona, s výnimkou 1 časti až 3 časti návrhu zákona,
pre spracúvanie osobných údajov v rámci činností, ktoré nepodliehajú právu Európskej únie návrh zákona ako celok,
pre spracúvanie osobných údajov na účely plnenia trestného konania príslušným orgánom návrh zákona, s výnimkou vybraných ustanovení 3 časti návrhu zákona.
V zmysle vyššie uvedeného je rozhodujúce pre správnu identifikáciu, či subjekt podlieha aj 1 časti a 2 časti návrhu zákona v zmysle bodu 1 a 2 vyššie uvedeného posúdiť, či samotná činnosť, v rámci ktorej dochádza k spracúvaniu osobných údajov podlieha právu Európskej únie alebo nie. Keďže právna úprava nariadenia ako aj 1 časti a 2 časti návrhu zákona sú v princípe totožné, čo sa týka rozsahu, ako aj obsahu povinností a práv v oblasti ochrany osobných údajov, tento rozdiel sa „stráca“.
Doložka zlučiteľnosti
právneho predpisu s právom Európskej únie
1. Predkladateľ právneho predpisu:
Úrad na ochranu osobných údajov Slovenskej republiky
2. Názov návrhu právneho predpisu:
Návrh zákona o ochrane osobných údajov a o zmene a doplnení niektorých zákonov
3. Problematika návrhu právneho predpisu:
a) je upravená v práve Európskej únie
- primárnom
čl. 6 a čl. 39 Zmluvy o Európskej únii
čl. 16 Zmluvy o fungovaní Európskej únie
čl. 8 Charty základných práv Európskej únie
- sekundárnom (prijatom po nadobudnutím platnosti Lisabonskej zmluvy, ktorou sa mení a dopĺňa Zmluva o Európskom spoločenstve a Zmluva o Európskej únii – po 30. novembri 2009)
1. legislatívne akty
Nariadenie Európskeho parlamentu a rady (EÚ) č. 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)
Smernica Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV
2. nelegislatívne akty
Rozhodnutie Komisie z 5. februára 2010 o štandardných zmluvných doložkách pre prenos osobných údajov spracovateľom usadeným v tretích krajinách podľa smernice Európskeho parlamentu a Rady 95/46/ES (2010/87/EÚ) (Ú. v. EÚ L 39, 12. 2. 2010)
Rozhodnutie Komisie z 5. marca 2010 podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranej ochrane osobných údajov poskytovanej faerským zákonom o spracovaní osobných údajov (2010/146/EÚ) (Ú. v. EÚ L 58, 9.3.2010)
Rozhodnutie Komisie z 19. októbra 2010 podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranej ochrane osobných údajov v Andorre (2010/625/EÚ) (Ú. v. EÚ L 277, 21.10.2010)
Rozhodnutie Komisie z 31. januára 2011 podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranej ochrane osobných údajov Izraelským štátom, pokiaľ ide o automatizované spracovanie osobných údajov (2011/61/EÚ) (Ú. v. EÚ L 27, 1.2.2011)
- sekundárnom (prijatom pred nadobudnutím platnosti Lisabonskej zmluvy, ktorou sa mení a dopĺňa Zmluva o Európskom spoločenstve a Zmluva o Európskej únii – do 30. novembra 2009)
Smernica Európskeho parlamentu a Rady 95/46/EHS z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Mimoriadne vydanie Ú. v. EÚ, kap.13/ zv.15) v platnom znení
Rozhodnutie Komisie z 26. júla 2000 podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranej ochrane osobných údajov poskytovaných vo Švajčiarsku (2000/518/ES) (Mimoriadne vydanie Ú. v. EÚ, kap.16/ zv. 1)
Rozhodnutie Komisie z 26. júla 2000 v súlade so smernicou Európskeho parlamentu a Rady 95/46/ES o primeranosti ochrany poskytovanej zásadami bezpečného prístavu a súvisiacimi často kladenými otázkami vydanými Ministerstvom obchodu USA (2000/520/ES) (Mimoriadne vydanie Ú. v. EÚ, kap. 16/ zv. 1)
Rozhodnutie Komisie z 15. júna 2001 o štandardných zmluvných doložkách na prenos osobných údajov do tretích krajín podľa smernice 95/46/ES (2001/497/ES) (Mimoriadne vydanie Ú. v. EÚ, kap.13/ zv. 26) v platnom znení
Rozhodnutie Komisie z 20. decembra 2001 podľa smernice 95/46/ES Európskeho parlamentu a Rady o primeranej ochrane osobných údajov poskytovaných kanadským Zákonom o ochrane osobných informácií a elektronických dokumentoch (2002/2/ES) (Mimoriadne vydanie Ú. v. EÚ, kap.13/ zv. 27)
Rozhodnutie Komisie z 30. júna 2003 podľa smernice 95/46/ES Európskeho parlamentu a Rady o primeranej ochrane osobných údajov v Argentíne (2003/490/3S) (Mimoriadne vydanie Ú. v. EÚ, kap.13/ zv. 31)
Rozhodnutie Komisie z 21. novembra 2003 o primeranej ochrane osobných údajov na Guernsey (2003/821/ES) (Mimoriadne vydanie Ú. v. EÚ, kap.16/ zv. 1)
Rozhodnutie Komisie z 28. apríla 2004 o primeranej ochrane osobných údajov na ostrove Man (2004/411/ES) (Mimoriadne vydanie Ú. v. EÚ, kap.13/ zv. 34)
Rozhodnutie Komisie z 8. mája 2008 podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranej ochrane osobných údajov v Jersey (2008/393/ES) (Ú. v. EÚ L 138, 28.5.2008)
Rámcové rozhodnutie Rady 2008/977/SVV z 27. novembra 2008 o ochrane osobných údajov spracúvaných v rámci policajnej a justičnej spolupráce v trestných veciach
b) je obsiahnutá v judikatúre Súdneho dvora Európskej únie
Rozhodnutie Súdneho dvora vo veci C-101/01 proti Bodil Lindqvist (2003)
Rozhodnutie Súdneho dvora vo veci C-524/06 Heinz Huber proti Spolkovej republike Nemecko (2008)
Rozhodnutie Súdneho dvora vo veci C 553/07 College van burgemeester en wethouders van Rotterdam proti E. E. Rijkeboer (2009)
Rozhodnutie súdneho dvora v spojenej veci C-92/09 a C-93/09 Volker und Markus Schecke GbR (C 92/09) a Hartmut Eifert (C 93/09) proti Spolkovej krajine Hesensko (2010)
Rozhodnutie Súdneho dvora vo veci C-518/07 Komisia Európskych spoločenstiev proti Spolkovej republike Nemecko (2010)
Rozhodnutie Súdneho dvora vo veci C-131/12 Google Spain SL a Google Inc. proti Agencia Española de Protección de Datos (AEPD) a Mariovi Costejovi Gonzálezovi (2014)
Rozhodnutie Súdneho dvora vo veci C-212/13 František Ryneš proti Úřad pro ochranu osobních údajů (2014)
Rozhodnutie Súdneho dvora vo veci C-230/14 Weltimmo s.r.o. proti Nemzeti Adatvédelmi és Információszabadság Hatóság (2015)
Rozhodnutie Súdneho dvora vo veci C-362/14 Maximillian Schrems proti Data Protection Commissioner (2015)
4. Záväzky Slovenskej republiky vo vzťahu k Európskej únii:
a) lehota na prebratie smernice alebo lehota na implementáciu nariadenia alebo rozhodnutia
lehota na implementáciu Nariadenia Európskeho parlamentu a Rady (EÚ) č. 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119/1, 4.5.2016) - 25. máj 2018
lehota na prebratie Smernice Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119/89, 4.5.2016) – 6. máj 2018
b) lehota určená na predloženie návrhu právneho predpisu na rokovanie vlády podľa určenia gestorských ústredných orgánov štátnej správy zodpovedných za transpozíciu smerníc a vypracovanie tabuliek zhody k návrhom všeobecne záväzných právnych predpisov
Nie je určená.
c) informácia o konaní začatom proti Slovenskej republike o porušení podľa čl. 258 až 260 Zmluvy o fungovaní Európskej únie
Bezpredmetné.
d) informácia o právnych predpisoch, v ktorých sú preberané smernice už prebraté spolu s uvedením rozsahu tohto prebratia
Bezpredmetné.
5. Stupeň zlučiteľnosti návrhu právneho predpisu s právom Európskej únie:
Úplný.
6. Gestor a spolupracujúce rezorty:
Ministerstvo spravodlivosti Slovenskej republiky
Ministerstvo vnútra Slovenskej republiky
Úrad na ochranu osobných údajov Slovenskej republiky

čl. I

čl. I § 1 §
Návrh zákona upravuje ochranu osobných údajov fyzických osôb v súlade s čl. 19 ods. 3 a čl. 22 ods. 1 Ústavy Slovenskej republiky. Predmetom úpravy návrhu zákona je ochrana práv fyzických osôb pred neoprávneným spracúvaním ich osobných údajov. Návrh zákona tiež upravuje práva, povinnosti a zodpovednosť subjektov pri spracúvaní osobných údajov fyzických osôb a postavenie, pôsobnosť a organizáciu Úradu na ochranu osobných údajov Slovenskej republiky (ďalej len „úrad“).

čl. I § 2 §
Poskytuje definíciou osobného údaja. Zákon neupravuje konkrétny konečný zoznam údajov, ktoré sú považované za osobné údaje. Poskytuje tzv. demonštratívny výpočet charakteristík určujúcich fyzickú osobu. Uvedená definícia osobných údajov nevyžaduje, aby išlo o konkrétnu identitu fyzickej osoby, ale postačuje, aby za splnenia daných podmienok bola osoba identifikovateľná. Z vecnej stránky sa pojem osobných údajov vzťahuje na také údaje, ktoré sa týkajú identifikovanej alebo identifikovateľnej fyzickej osoby, t. j. určenej alebo určiteľnej, či už priamo alebo nepriamo. Z pohľadu ochrany osobných údajov sa „určiteľnosťou fyzickej osoby" rozumie taký stav, keď na základe jedného alebo viacerých dostupných údajov o danej osobe túto možno identifikovať. Identifikácia sa realizuje prostredníctvom konkrétnych charakteristických znakov, t. j. „identifikátorov", ktoré možno priradiť ku konkrétnej fyzickej osobe (napr.: meno, priezvisko, tetovanie, zdravotné postihnutie, dátum narodenia, adresa a iné). Miera, do akej sú určité identifikátory dostačujúce pre dosiahnutie identifikácie konkrétnej fyzickej osoby závisí od komplexného posúdenia dostupných údajov v ich vzájomnej súvislosti a konkrétnej situácie. V závislosti od kvality, kvantity …

čl. I § 3 §
Upravuje vecnú a územnú pôsobnosť zákona. odsek 1 Pozitívne je vecná pôsobnosť zákona vymedzená vo vzťahu k prostriedkom spracúvania, teda k tomu na čom, prípadne ako sú osobné údaje spracúvané. Primárne delenie prostriedkov spracúvania je na prostriedky spracúvania automatizované, teda používajúce napríklad počítačový program, alebo aplikáciu, druhou možnosťou je spracúvanie osobných údajov neautomatizovanou formou, napríklad vykonávaním zápisov osobných údajov fyzicky osobou do záznamovej knihy. Zákon sa vzťahuje na spracúvanie osobných údajov vykonávané prostredníctvom automatizovaných prostriedkov spracúvania (napr.: počítač, tablet, smartphone), ako aj na spracúvanie vykonávané prostredníctvom neautomatizovaných prostriedkov spracúvania (napr.: záznamová kniha, evidenčný zošit, papierová evidencia). Zákon sa tiež vzťahuje na spracúvanie osobných údajov, ktoré je vykonávané kombináciou oboch vyššie uvedených prostriedkov spracúvania v rámci jedného informačného systému osobných údajov. Napríklad, ak je časť spracúvania osobných údajov na konkrétny účel vykonávaná na počítači a časť je vykonávaná formou záznamov v papierovej evidencii v neautomatizovanej forme. V prípade kombinovaného spracúvania osobných údajov automatizovanou formou a neautomatizovane je podstatné, ak sa má …

čl. I § 4 §
Deklaratórne ustanovenie o tom, že voľný pohyb osobných údajov v rámci Európskej únie je zaručený, ak je vyžadovaný podľa osobitného predpisu so silou zákona, alebo nariadenia Európskej únie alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.

čl. I § 5 §
Vymedzuje základné pojmy a definuje ich význam na účel tohto zákona. písmeno a) Súhlas dotknutej osoby je jedným z právnych základov spracúvania osobných údajov. Súhlas by sa mal poskytnúť výslovným a jasným prejavom vôle, ktorý je slobodným, konkrétnym, informovaným a jednoznačným vyjadrením vôle dotknutej osoby so spracúvaním osobných údajov; forma písomného vyhlásenia vrátane vyhlásenia prostredníctvom elektronických prostriedkov alebo ústnym vyhlásením je za splnenia ostatných náležitostí súhlasu akceptovateľná. Zákon určuje konkrétne podmienky na udelenie súhlasu, ako aj na spracúvanie osobných údajov na tomto právnom základe . Zákon vyžaduje aktívnu účasť dotknutej osoby pri udeľovaní súhlasu, je teda potrebné formulovať súhlas tak, aby dotknutá osoba musela konať. Nečinnosť dotknutej osoby, respektíve nevyjadrenie nesúhlasu dotknutej osoby nemožno považovať za vyjadrenie súhlasu. Dotknutá osoba má k súhlasu vždy pristupovať aktívne a z jej strany je očakávaná aktivita. V prípade, ak je predmetom spracúvania spracúvanie osobitnej kategórie osobných údajov, je potrebné, aby bol súhlas dotknutej osoby výslovný, teda taký, ktorý je oddelený od inej časti …

čl. I § 6 §
Zásady spracúvania osobných údajov sú základnými mantinelmi v rámci ktorých sa konkrétne spracúvanie osobných údajov fyzickej osoby posudzuje a vykonáva. Cieľom zásad spracúvania osobných údajov je vykonávanie spracúvania osobných údajov tak, aby boli rešpektované práva dotknutých osôb a aby spracúvaním osobných údajov nedochádzalo k porušovaniu práva na zachovanie ľudskej dôstojnosti alebo k iným neoprávneným zásahom do práva na ochranu súkromia. Každé spracúvanie osobných údajov má byť zákonné, založené na legálnom právnom základe podľa § 13 tohto zákona. Spracúvanie nesmie byť protiprávne, nesmie prebiehať na nelegálnom právnom základe alebo samotný účel spracúvania nesmie byť nelegitímny.

čl. I § 7 §
Spracúvané osobné údaje majú byť primerané, relevantné a obmedzené na zoznam alebo rozsah osobných údajov nevyhnutný vzhľadom na účel, na ktorý sa spracúvajú. Účel je základným obmedzujúcim faktorom najmä vo vzťahu k zoznamu alebo rozsahu spracúvaných osobných údajov a vo vzťahu k dobe spracúvania, ako aj uchovávania spracúvaných osobných údajov. Účel má byť vymedzený dostatočne jasne a určito, aby z neho bolo jasné, aké spracovateľské operácie na základe neho budú a nebudú prebiehať, alebo aké spracovateľské operácie dotknutá osoba môže očakávať, že s jej osobnými údajmi na základe jeho vymedzenia môžu prebiehať. Spracúvať osobné údaje na iný účel, než na ktorý boli získané je zakázané, ibaže by tento iný účel úzko súvisel s pôvodným účelom spracúvania, bol s ním zlučiteľný. Spracúvanie osobných údajov získaných na stanovený účel nevylučuje, aby takto získané osobné údaje nemohli byť spracúvané na tzv. privilegované účely, a to účely archivácie, na účely vedeckého alebo historického výskumu a na štatistické účely v súlade s týmto zákonom a …

čl. I § 8 §
Spracúvanie osobných údajov má byť úzko naviazané na účel spracúvania osobných údajov, a to najmä pokiaľ ide o zoznam alebo rozsah spracúvaných osobných údajov, ktorý by mal byť nevyhnutný na to, aby sa spracúvaním daných osobných údajov účel mohol dosiahnuť. Nie je správne, aby sa zoznam alebo rozsah osobných údajov umelo alebo dodatočne rozširoval vzhľadom na účel. Ak je účel a zoznam alebo rozsah osobných údajov stanovený zákonom, je potrebné ho rešpektovať, ak si zoznam alebo rozsah spracúvaných osobných údajov určuje prevádzkovateľ má dbať na to, aby ho zbytočne, nad rámec účelu nerozširoval.

čl. I § 9 §
Osobné údaje spracúvané na určitý účel musia byť správne, presné a podľa potreby aktualizované tak, aby sa zabezpečilo, že sa osobné údaje, ktoré sú nesprávne sa bezodkladne vymažú alebo opravia. Ak nesprávny osobný údaj odhalí prevádzkovateľ má povinnosť ho opraviť, ak je to možné, ak nie, má povinnosť ho zlikvidovať. V prípade ak nesprávny osobný údaj zistí dotknutá osoba mala by sama iniciatívne kontaktovať prevádzkovateľa a požadovať opravu nesprávneho osobného údaja alebo jeho likvidáciu podľa tohto zákona, ak sa nesprávnosť údaju potvrdí, prevádzkovateľ má požiadavke dotknutej osoby na opravu vyhovieť. Zásada aktuálnosti znamená tiež to, že prevádzkovateľ má povinnosť spracúvané osobné údaje pravidelne kontrolovať a aktualizovať (pravidelnosť kontroly je potrebné nastaviť s ohľadom na ujmu, ktorá môže vzniknúť dotknutej osobe pri spracúvaní nesprávneho osobného údaja prevádzkovateľom), a to aj po obsahovej stránke, nielen gramatickej, teda by sa nemalo stať, že osoba, ktorá uhradila svoj dlh bude v systéme prevádzkovateľa stále vedená ako dlžník, napriek tomu, že reálny aj právny stav …

čl. I § 10 §
Zásada minimalizácie uchovávania spracúvaných osobných údajov, má za cieľ dosiahnuť, aby sa osobné údaje vo forme, kedy je ich možné priradiť ku konkrétnej fyzickej osobe spracúvali iba dovtedy, kým je to potrebné na dosiahnutie sledovaného účelu spracúvania. Akonáhle je tento cieľ spracúvania osobných údajov dosiahnutý je možné, aby sa osobné údaje už spracúvali iba na účely archivácie, na účely vedeckého alebo historického výskumu či na štatistické účely podľa osobitného predpisu za predpokladu prijatia primeraných technických a organizačných opatrení vyžadovaných týmto zákonom na ochranu práv dotknutých osôb. Zásada minimalizácie uchovávania má za cieľ, aby sa osobné údaje uchovávali vo forme, ktorá umožňuje identifikáciu dotknutých osôb len v nevyhnutnom rozsahu len dovtedy, dokiaľ je to s ohľadom na účel spracúvania potrebné a nevyhnutné. Spracúvanie osobných údajov výlučne na účely archivácie, na účely vedeckého alebo historického výskumu či na štatistické účely v súlade s týmto zákonom je považované za výnimku z tejto zásady, teda nie je porušením tohto zákona.

čl. I § 11 §
Osobné údaje by sa mali spracúvať tak, aby sa zabezpečila ich primeraná bezpečnosť a dôvernosť vrátane predchádzania neoprávnenému prístupu k osobným údajom a prostriedkom spracúvania osobných údajov. Prijaté bezpečnostné opatrenia musia byť adekvátne spracúvaným osobným údajom, a to tak po technickej, personálnej, ako aj po organizačnej stránke.

čl. I § 12 §
Zásada zodpovednosti za spracúvané osobné údaje pre prevádzkovateľa znamená zodpovednosť za dodržiavanie všetkých povinností mu stanovených týmto zákonom a zásada zodpovednosti pre neho znamená aj povinnosť, aby vedel deklarovať navonok, že všetky požadované povinnosti si skutočne plní. Prevádzkovateľ pri prijímaní bezpečnostných opatrení a plnení si aj iných svojich povinností podľa tohto zákona musí vystupovať aktívne a snažiť sa splniť si všetky povinnosti tak, ako mu ich zákon ukladá. Zákon mu k preukazovaniu splnenia niektorých jeho povinností dáva nástroje, ako napríklad možnosť pristúpiť ku kódexom správania a využiť ich ako deklaratórne nástroje smerom von ohľadom ním prijatých bezpečnostných opatrení. Prevádzkovateľ je povinný prijať primerané a účinné opatrenia a vedieť preukázať súlad spracovateľských činností s týmto zákonom vrátane primeraných a účinnosti bezpečnostných opatrení. V uvedených opatreniach by sa mala zohľadniť povaha, rozsah, kontext a účel spracúvania a riziko pre práva fyzických osôb. Na účely prijatia zodpovednosti by mal prevádzkovateľ najmä prijímať adekvátne politiky ochrany osobných údajov, ktorými bude deklarovať svoju zodpovednosť za …

čl. I § 13 §
odsek 1 Odsek taxatívne vymenúva právne základy spracúvania osobných údajov dotknutej osoby, situácie, kedy spracúvanie osobných údajov dotknutej osoby prebieha na legálnom, alebo legitímnom právnom základe. Medzi právne základy spracúvania osobných údajov patrí súhlas dotknutej osoby ňou daný na jeden alebo viacero výslovne uvedených účelov. Súhlas by sa mal poskytnúť výslovným a jasným prejavom vôle, ktorý je slobodným, konkrétnym, informovaným a jednoznačným vyjadrením vôle dotknutej osoby so spracúvaním osobných údajov; forma písomného vyhlásenia vrátane vyhlásenia prostredníctvom elektronických prostriedkov alebo ústnym vyhlásením je za splnenia ostatných náležitostí súhlasu akceptovateľná. Zákon určuje konkrétne podmienky na udelenie súhlasu, ako aj na spracúvanie osobných údajov na tomto právnom základe . Zákon vyžaduje aktívnu účasť dotknutej osoby pri udeľovaní súhlasu, je teda potrebné formulovať súhlas tak, aby dotknutá osoba musela konať. Nečinnosť dotknutej osoby, respektíve nevyjadrenie nesúhlasu dotknutej osoby nemožno považovať za vyjadrenie súhlasu. Dotknutá osoba má k súhlasu vždy pristupovať aktívne a z jej strany je očakávaná aktivita. Ďalším právnym základom spracúvania osobných údajov …

čl. I § 14 §
Súhlas dotknutej osoby je jedným z právnych základov spracúvania osobných údajov, kedy o spracúvaní svojich osobných údajov rozhoduje výlučne dotknutá osoba. Prevádzkovateľ musí vedieť preukázať, že mu dotknutá osoba súhlas poskytla. Zákon výslovne neurčuje formu udelenia súhlasu, ale s ohľadom na požiadavku preukázania existencie udelenia súhlasu, má byť tento súhlas v písomnej forme, v elektronickej forme alebo v inak hodnovernej preukázateľnej forme (napríklad telefonická nahrávka udelenia súhlasu). Z udeleného súhlasu musí byť zrejmé kto súhlas udelil, kedy bol súhlas udelený, aké informácie dostala dotknutá osoba pred udelením súhlasu (s akými informáciami sa mohla oboznámiť napríklad na webovom sídle prevádzkovateľa), akým spôsobom bol súhlas udelený (elektronicky, písomne) a údaj o tom, že v istom čase bol súhlas dotknutou osobou odvolaný, ak sa tak stalo. V prípade, ak je vyjadrenie súhlasu so spracúvaním osobných údajov súčasťou iného dokumentu alebo písomnosti (napr.: zmluvy), je potrebné, aby súhlas bol jasne a zreteľne oddelený, odlíšiteľný od týchto iných častí daného dokumentu, napríklad ako samostatný článok …

čl. I § 15 §
Informačnú spoločnosť v zmysle spracúvania osobných údajov možno charakterizovať ako spoločnosť, ktorá používa moderné informačné a telekomunikačné technológie ako formu komunikácie navonok aj dovnútra a tiež ako formu získavania a poskytovania informácií alebo služieb. Hlavnou súčasťou informačnej spoločnosti všeobecne a aj následne konkrétnej informačnej spoločnosti v postavení prevádzkovateľa alebo sprostredkovateľa je internet; tento je využívaný ako hlavný komunikačný kanál na prijímanie, ale aj poskytovanie informácií a teda aj osobných údajov. Prostredníctvom internetovej siete informačné spoločnosti vykonávajú zásadný podiel svojej činnosti, je to ich prostriedok na získavanie nových zákazníkov, dotknutých osôb, a to tak dospelých, ako aj detí, prostriedok na poskytovanie služieb. Službou informačnej spoločnosti teda možno nazvať takú službu, ktorá je poskytovaná cez internet, respektíve, ktorej časť je poskytovaná cez internet, pričom internet je prostriedkom prostredníctvom ktorého zákazník vyjadruje svoj záujem o službu a tiež aj prípadný súhlas so spracúvaním svojich osobných údajov. Osobitnú ochranu osobných údajov si zasluhujú deti, keďže sú si v menšej miere vedomé rizík a dôsledkov …

čl. I § 16 §
odsek 1 Osobitné kategórie osobných údajov sú taxatívne vymenované v texte zákona. Dôvodom na ich vymenovanie je fakt, že ide o citlivé osobné údaje, týkajúce sa fyzickej osoby, pri ktorých, ak by došlo k ich zneužitiu, nezákonnému spracúvaniu, mohlo by to pre dotknutú osobu predstavovať významný zásah do jej základných ľudských práv. Spracúvanie osobitnej kategórie osobných údajov sa vo všeobecnosti týmto zákonom zakazuje, je prípustné len v prípade splnenia taxatívne ustanovených výnimiek definovaných v odseku 2 tohto ustanovenia tohto zákona. V prípade splnenia podmienok ustanovených v odseku 2, prevádzkovateľ môže spracúvať osobitnú kategóriu osobných údajov, citlivé osobné údaje v súlade s týmto zákonom. odsek 2 Spracúvať osobitné kategórie osobných údajov uvedených v odseku 1 sa generálne zakazuje. Ak by však niektorí prevádzkovatelia nemohli spracúvať aj osobitné kategórie osobných údajov, nemohli by si plniť im zákonom zverené povinnosti alebo uplatňovať svoje práva, taktiež dotknuté osoby by boli obmedzené v slobodnom nakladaní so svojimi osobnými údajmi. Podmienky, za ktorých je možné spracúvanie …

čl. I § 17 §
Prevádzkovateľom v prípade spracúvania osobných údajov týkajúcich sa uznania viny za spáchanie trestného činu alebo priestupku v registri trestov môže byť iba štátny orgán, ak to má ustanovené osobitným zákonom. V podmienkach Slovenskej republiky je takýmto prevádzkovateľom Generálna prokuratúra Slovenskej republiky. Iný prevádzkovateľ môže spracúvať tieto osobné údaje len ak ho nato oprávňuje osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná, a to len v prípade, ak daný osobitný predpis alebo medzinárodná zmluva poskytuje primerané záruky ochrany pre práva dotknutej osoby v súvislosti so spracúvaním osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky.

čl. I § 18 §
V ustanovení sa prejavuje zásada minimalizácie údajov vo vzťahu k účelu spracúvania tak, že prevádzkovateľ je oprávnený spracúvať len minimálny rozsah osobných údajov o dotknutej osobe nevyhnutné potrebných na splnenie účelu spracúvania, teda ak už na primárny účel spracúvania nepotrebuje osobu identifikovať, nakoľko tento bol splnený, tak tieto nadbytočné osobné údaje, na základe ktorých by toho bol schopný nie je povinný iba na účely preukázania súladu s týmto zákonom uchovávať, ale je povinný ich zlikvidovať. Príkladom dodržiavania zásady minimalizácie osobných údajov je, ak prevádzkovateľ je schopný na základe svojich technických možností spojiť IP adresu zákazníka s jeho konkrétnymi osobnými údajmi, ale nekoná tak, nakoľko takéto prepojenie pre neho nie je potrebné na účely predaja služby koncovému zákazníkovi, dotknutej osobe, ktorej presná identifikácia prevádzkovateľa nezaujíma, nakoľko účel spracúvania, predaj služby alebo tovaru už bol naplnený. V prípade, ak by daná dotknutá osoba chcela, aby prevádzkovateľ vyhovel nejakej jej žiadosti a uplatnila by si voči nemu právo dotknutej osoby napríklad na zamazanie …

čl. I § 19 §
odsek 1 a odsek 2 Taxatívne vymedzuje informácie, ktoré má prevádzkovateľ povinnosť poskytnúť dotknutej osobe, ak osobné údaje získava priamo od nej a poskytnutím ktorých sa má zabezpečiť informovanosť dotknutej osoby a transparentnosť spracúvania jej osobných údajov; tieto informácie je povinný prevádzkovateľ poskytnúť iniciatívne, nie až na základe žiadosti alebo vyzvania dotknutej osoby. V prípade získavania osobných údajov od dotknutej osoby je potrebné, aby tieto informácie o zamýšľanej spracovateľskej operácii boli dotknutej osobe poskytnuté najneskôr pri získavaní jej osobných údajov, respektíve v dostatočnom časovom predstihu, jasne a zrozumiteľne a takým spôsobom, aby sa s týmito informáciami mohla skutočne oboznámiť a porozumela im. odsek 3 Stanovuje povinnosť prevádzkovateľa informovať dotknutú osobu, ak prevádzkovateľ chce osobné údaje spracúvať aj na iný účel, ako ten, na ktorý osobné údaje pôvodne získal v súlade s týmto zákonom (výnimka z obmedzenia účelu s povinnosťou vykonania testu zlučiteľnosti). odsek 4 V prípade ak už dotknutá osoba informáciami podľa predchádzajúcich odsekov disponuje (napríklad jej už boli skoršie …

čl. I § 20 §
odsek 1 a odsek 2 Taxatívne vymedzuje informácie, ktoré má prevádzkovateľ povinnosť poskytnúť dotknutej osobe, ak osobné údaje nezískal priamo od nej a poskytnutím ktorých sa má zabezpečiť informovanosť dotknutej osoby a transparentnosť spracúvania jej osobných údajov. odsek 3 Stanovuje lehoty pre plnenie informačnej povinnosti prevádzkovateľa podľa odsekov 1 a 2 voči dotknutej osobe, ak prevádzkovateľ nezískal jej osobné údaje priamo od tejto dotknutej osoby. Informácie je povinný prevádzkovateľ poskytnúť v primeranej lehote po získaní osobných údajov od inej ako dotknutej osoby dotknutej osobe alebo je prevádzkovateľ povinný plniť si informačnú povinnosť voči dotknutej osobe najneskôr v čase prvej komunikácie s ňou, alebo v čase, keď sa osobné údaje prvýkrát poskytnú plánujú poskytnúť ďalšiemu príjemcovi. odsek 4 Stanovuje povinnosť prevádzkovateľa informovať dotknutú osobu, ak chce osobné údaje spracúvať aj na iný účel, ako ten, na ktorý boli osobné údaje pôvodne získané v súlade s týmto zákonom (výnimka z obmedzenia účelu s povinnosťou vykonania testu zlučiteľnosti). odsek 5 Ustanovuje taxatívne prípady …

čl. I § 21 §
odsek 1 a odsek 2 Dotknutá osoba má právo vedieť, či prevádzkovateľ o nej spracúva osobné údaje a v prípade, že tomu tak je, má právo na prístup k týmto osobným údajom a tiež právo, aby jej prevádzkovateľ poskytol okrem ním spracúvaných osobných údajov o nej aj taxatívne zákonom stanovené ďalšie informácie. Takéto informácie poskytuje prevádzkovateľ až na základe žiadosti dotknutej osoby a v lehotách v tomto zákone stanovených. Ak prevádzkovateľ spracúva v súvislosti s dotknutou osobou veľké množstvo osobných údajov, môže požadovať, aby pred tým, ako dotknutej osobe poskytne požadované informácie, dotknutá osoba spresnila, ktorých informácií alebo spracovateľských činností sa jej žiadosť týka. Uplatnenie práva dotknutou osobou sa však nemôže stať podnetom ani dôvodom na konanie zo strany prevádzkovateľa, ktoré by dotknutej fyzickej osobe mohlo spôsobiť ujmu. V prípade, ak prevádzkovateľ prenáša osobné údaje dotknutej osoby do tretej krajiny alebo medzinárodnej organizácii má dotknutá osoba právo byť informovaná o primeraných zárukách týkajúcich sa týchto prenosov. odsek 3 a odsek …

čl. I § 22 §
Dotknutá osoba má právo na opravu jej osobných údajov v informačných systémoch prevádzkovateľa. Spracúvanie nesprávnych osobných údajov dotknutej osoby môže dotknutej osobe spôsobiť ujmu majetkového aj nemajetkového charakteru; je v záujme dotknutej osoby, ako aj prevádzkovateľa, aby sa spracúvali vždy správne a aktuálne osobné údaje. Ak dotknutá osoba zistí, že osobné údaje, ktoré o nej prevádzkovateľ spracúva sú nesprávne, má ho o tom upovedomiť a požiadať, aby ich opravil a nesprávne osobné údaje zlikvidoval, pokiaľ nemá z iného osobitného zákona povinnosť aj nesprávne, teda skôr získané osobné údaje týkajúce sa dotknutej osoby archivovať. V prípade, ak dotknutá osoba zistí zrejmú nesprávnosť, tak môže aj formou listu, či osobnej návštevy prevádzkovateľa požiadať o opravu týchto nesprávnych údajov a už v rámci zaslaného listu, alebo osobnej návštevy u neho mu správne osobné údaje uviesť. V prípade, ak prevádzkovateľ z vlastnej činnosti zistí, že osobné údaje, ktoré o dotknutej osobe spracúva sú nesprávne, má ju o takomto svojom zistení vyrozumieť a požiadať, aby …

čl. I § 23 §
odsek 1 a odsek 2 Dotknutá osoba má právo na to, aby jej osobné údaje boli vymazané, zlikvidované a prestali sa spracúvať, ak je naplnený niektorý zo zákonných dôvodov stanovených v tomto zákone. Dotknutá osoba si toto právo na výmaz, likvidáciu jej osobných údajov, môže uplatniť u prevádzkovateľa. V prípade, ak právo dotknutej osoby bude opodstatnené niektorým zo zákonných dôvodov podľa tohto ustanovenia tohto zákona, má dotknutá osoba právo na dosiahnutie tohto práva u prevádzkovateľa. Zároveň v súlade so zásadou zákonnosti a zásadou zodpovednosti je prevádzkovateľ povinný pravidelne preverovať splnenie účelu spracúvania osobných údajov za účelom ich prípadného výmazu po splnení účelu spracúvania osobných údajov. odsek 3 Ak prevádzkovateľ zverejnil osobné údaje dotknutej osoby a vznikla mu povinnosť ich na základe žiadosti dotknutej osoby vymazať, je povinný zverejnené osobné údaje týkajúce sa dotknutej osoby s ohľadom na svoje technologické možnosti a na prostriedky, ktorými osobné údaje zverejnil, vymazať. V súlade s touto povinnosťou práva na výmaz alebo práva na zabudnutie …

čl. I § 24 §
odsek 1 Taxatívne stanovuje prípady, kedy je prevádzkovateľ povinný rešpektovať právo dotknutej osoby a obmedziť spracúvanie jej osobných údajov, kedy prevádzkovateľ počas uplatnenia si obmedzenia spracúvania dotknutou osobou, osobné údaje dotknutej osoby nespracúva, ale ich blokuje, prípadne ich počas tejto doby iba uchováva. odsek 2 Ak prevádzkovateľ obmedzil na základe žiadosti dotknutej osoby spracúvanie osobných údajov tejto dotknutej osoby, môže prevádzkovateľ tieto osobné údaje, okrem uchovávania, spracúvať len so súhlasom dotknutej osoby, alebo na preukazovanie a obhajovanie právnych nárokov, alebo na ochranu práv inej fyzickej osoby alebo právnickej osoby, alebo z dôvodov dôležitého verejného záujmu stanoveného v osobitnom predpise so silou minimálne zákona. odsek 3 Ak dotknutá osoba dosiahla obmedzenie spracúvania jej osobných údajov prevádzkovateľa je prevádzkovateľ povinný ju vopred informovať pred tým, ako bude toto obmedzenie spracúvania zrušené.

čl. I § 25 §
Dotknutá osoba má právo, aby sa spracúvali len také jej osobné údaje, ktoré sú správne, nevyhnutné na dosiahnutie účelu a ich spracúvanie je založené na zákonnosti; v prípade ak došlo k oprave, vymazaniu alebo obmedzeniu spracúvania jej osobných údajov u prevádzkovateľa, a to bez ohľadu na to, či na základe žiadosti dotknutej osoby alebo na základe toho, že tak vykonal prevádzkovateľ z vlastnej činnosti je potrebné, aby o takejto oprave vymazaní alebo obmedzení spracúvania prevádzkovateľ informoval každého príjemcu, ktorému osobné údaje dotknutej osoby poskytol. Prevádzkovateľ nie je povinný informovať každého príjemcu, ak preukáže nemožnosť poskytnutia takejto informácie, alebo ak preukáže, že poskytnutie informácie si vyžaduje jeho neprimerané úsilie. Prevádzkovateľ je povinný o príjemcoch, ak to požaduje, informovať aj dotknutú osobu.

čl. I § 26 §
odsek 1 S cieľom posilniť kontrolu nad vlastnými osobnými údajmi má dotknutá osoba v prípade, že sa spracúvanie osobných údajov vykonáva u prevádzkovateľa automatizovanými prostriedkami spracúvania, možnosť získať jej osobné údaje, ktoré poskytla prevádzkovateľovi v štruktúrovanom a interoperabilnom formáte a preniesť ich k ďalšiemu prevádzkovateľovi, a to bez toho, aby prvý prevádzkovateľ, ktorému ich poskytla, jej v tom akokoľvek bránil alebo ju v tomto práve obmedzoval. Toto platí v prípadoch, ak spracúvanie osobných údajov týkajúcich sa dotknutej osoby je založené na súhlase so spracúvaním osobných údajov poskytnutom samotnou dotknutou osobou alebo ak je spracúvanie osobných údajov založené na zmluvnom vzťahu, ktorého je dotknutá osoba zmluvnou stranou; je vykonávané u prevádzkovateľa automatizovanými prostriedkami spracúvania. odsek 2 Uplatňovaním práva na prenosnosť osobných údajov nie je dotknuté právo dotknutej osoby požadovať výmaz jej osobných údajov a obmedzenie tohto práva na výmaz, podľa zákona. Právo na prenosnosť údajov nemá viesť k vymazaniu osobných údajov dotknutej osoby, ktoré poskytla na účely plnenia zmluvy, v takom …

čl. I § 27 §
odsek 1 Ak prevádzkovateľ spracúva osobné údaje dotknutej osoby na základe zákona, nakoľko je toto spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi alebo je spracúvanie nevyhnutné na účely oprávnených záujmov sledovaných prevádzkovateľom prípadne treťou stranou a ak nad takýmito záujmami neprevládajú záujmy a práva dotknutej osoby vyžadujúce si ochranu osobných údajov, najmä ak by šlo o ochranu osobných údajov spracúvaných o dieťati alebo ak ide o spracúvanie osobných údajov založených na profilovaní dotknutej osoby, spracúvanie takýchto osobných údajov má dotknutá osoba právo u prevádzkovateľa namietať. Na základe žiadosti dotknutej osoby, ktorá namieta spracúvanie osobných údajov prevádzkovateľ takto namietané spracúvané osobné údaje nesmie ďalej spracúvať, iba ak by preukázal nevyhnutnosť takéhoto spracúvania a oprávnené dôvody prevažujúce nad záujmami, právami dotknutej osoby alebo by šlo o dôvody, účely spracúvania osobných údajov dotknutej osoby, kedy by spracúvanie osobných údajov dotknutej osoby prevádzkovateľom bolo potrebné na uplatňovanie právnych nárokov. Právo namietať má dotknutá osoba najmä …

čl. I § 28 §
odsek 1 Rozhodnutím založeným na automatizovanom spracúvaní osobných údajov je také rozhodnutie, ktoré je za využitia spracúvania osobných údajov dotknutej osoby vykonané a vydané bez zásahu človeka, napríklad posúdenie nároku na príspevok iba na základe zadania stanovených parametrov a následného automatizovaného vyhodnotenia nároku aplikáciou alebo na to určeným algoritmom. Ide o generovanie takého rozhodnutia zo strany prevádzkovateľa, ktoré je riadené algoritmom, to znamená, že sa vopred nastavia parametre, ktoré dotknutá osoba odovzdá a ktoré sa do algoritmu zadajú, vstupné dáta, následne celý proces vyhodnocovania prebehne bez ľudského zásahu, automatizovane. V praxi sa stretávame s takýmito postupmi čoraz častejšia napríklad pri vyhodnocovaní toho, či osoba spĺňa kritériá, napríklad, či má dostatočné príjmy na to, aby dosiahla na bankový produkt, zároveň algoritmus je schopný jej osobné údaje porovnať s osobnými údajmi ľudí v databázach, ktorí sú voči bankám dlžníkmi. Všetko je vykonávané automatizovane, na základe nastavenia algoritmov. Takto generované rozhodnutie môže mať na dotknutú osobu významný vplyv (najmä vo forme významného finančného …

čl. I § 29 §
odsek 1 Všetky informácie určené dotknutej osobe zo strany prevádzkovateľa jej majú byť poskytnuté v stručnej, ľahko prístupnej ľahko pochopiteľnej forme, formulované jasne a jednoducho, a ak je to vhodné a technicky možné aj ľahko zrakovo vnímateľné. Týka sa to najmä situácií, v ktorých veľký počet účastníkov a technologická zložitosť činnosti sťažujú dotknutej osobe zistiť a pochopiť, kým a na aké účely boli jej osobné údaje získané. Osobitne je potrebné, aby prevádzkovateľ uplatnil zásadu transparentnosti pri poskytovaní informácií deťom, ktorým je poskytovanie informácií potrebné prispôsobiť ich veku a rozumovým schopnostiam. Prevádzkovateľ tieto povinnosti môže splniť zverejnením adekvátnych informácií na svojom webovom sídle, ich fyzickou dostupnosťou v papierovej podobe vo priestoroch svojich pobočiek, ich distribúciou formou e-mailov alebo doručením poštou, prípadne priamym informovaním prostredníctvom svojich zamestnancov. Prevádzkovateľ môže skombinovať niekoľko foriem informovania dotknutých osôb tak, aby sa ich informovanosť zaručila aj viacerými spôsobmi súbežne. Transparentnosť informácií najmä pri uplatňovaní si práv dotknutej osoby je osobitne dôležitá. Ustanovenie taxatívne nestanovuje v akej …

čl. I § 30 §
Práva dotknutej osoby nie sú absolútne a v demokratickej spoločnosti sú opatrenia, ktorými sa sleduje vyššie dobro, vyšší záujem a v prípade ktorých je možné za zákonom stanovených podmienok obmedziť aj právo konkrétnej dotknutej osoby. Obmedzenie práv dotknutej osoby je možné len na základe osobitného predpisu a len ak takéto obmedzenie rešpektuje podstatu základných práv a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť v ustanovení taxatívne uvedené opatrenia, vyššie dobrá pre spoločnosť na úkor obmedzenia práva jednej dotknutej osoby. Takto je možné obmedziť rozsah práv a povinností dotknutej osoby v týchto oblastiach: informačnej povinnosti prevádzkovateľa, práv dotknutej osoby, ako právo na opravu, právo na vymazanie, právo na obmedzenie spracúvania, právo na prenosnosť údajov, právo namietať, právo namietať proti automatizovanému individuálnemu rozhodovaniu, vrátane profilovania, oznámenia porušenia ochrany osobných údajov dotknutej osoby, zásad spracúvania osobných údajov, ak súvisia s informačnou povinnosťou alebo právami dotknutej osoby. Na to, aby bolo obmedzenie práva dotknutej osoby možné, je potrebné, aby dôvody …

čl. I § 31 §
Zákonodarca stanovuje povinnosti a zodpovednosť prevádzkovateľa v súvislosti so spracúvaním osobných údajov, ktoré prevádzkovateľ vykonáva sám, spoločne s iným prevádzkovateľom alebo ktoré vykonáva v jeho mene prostredníctvom sprostredkovateľa. Prevádzkovateľ nesie zodpovednosť za zákonné spracúvanie osobných údajov. Je povinný prijať primerané a účinné opatrenia a má povinnosť vedieť preukázať súlad spracúvania s týmto zákonom, ako aj účinnosť a primeranosť ním prijatých opatrení na ochranu spracúvaných osobných údajov. Prevádzkovateľ je povinný vytvoriť také podmienky fungovania ním prevádzkovaných informačných systémov, ktoré zaručia ochranu osobných údajov pred ich poškodením, zničením, stratou, zmenou, neoprávneným prístupom, zneužitím a sprístupnením, poskytnutím alebo zverejnením, ako aj pred akýmikoľvek inými neprípustnými spôsobmi spracúvania. Na preukázanie súladu postupov prevádzkovateľa s týmto zákonom prevádzkovateľovi môžu slúžiť úradom schválené kódexy správania, ku ktorým môže pristúpiť a deklarovať tak splnenie istého štandardu ochrany osobných údajov alebo certifikát vydaný úradom alebo certifikačným subjektom. Iným opatrením prevádzkovateľa, ako môže zaistiť bezpečnosť spracúvaných osobných údajov je, že bude pravidelne vykonávať preverovania spracúvaných osobných údajov s ohľadom …

čl. I § 32 §
Prevádzkovateľ by mal nastaviť procesy a postupy ochrany osobných údajov a ich spracúvania, ktoré budú spĺňať najmä zásady špecificky navrhnutej ochrany údajov a štandardnej ochrany údajov. Prevádzkovateľ je povinný prijať zodpovedajúci stupeň bezpečnostných opatrení (primerané a účinné opatrenia) k jednotlivým zisteným rizikám, ktoré súvisia so spracúvaním osobných údajov, na ich zmiernenie. Takýmito opatreniami sú štandardné bezpečnostné technické a organizačné opatrenia, ako napríklad pseudonymizácia osobných údajov, šifrovanie, logovanie, minimalizácia údajov, poučenie osôb vykonávajúcich spracovateľské operácie, prístupová a kľúčová politika zohľadňujúca dôvernosť osobných údajov, zaistenie kontinuity spracúvania osobných údajov v prípade bezpečnostných incidentov a havárii, mlčanlivosť zamestnancov. Zároveň zákon zakotvuje požiadavku, aby prevádzkovateľ vo vzťahu k jeho spracovateľským operáciám a rizikám, prijal takú špecificky navrhnutú ochranu osobných údajov zohľadňujúcu technické ako aj organizačné bezpečnostné opatrenia, ktorá zodpovedá najnovším poznatkom pri zohľadnení výšky nákladov a možností prevádzkovateľa na prijatie a vykonávanie týchto bezpečnostných opatrení. Táto požiadavka by sa mala zohľadniť najmä vo vzťahu k aplikáciám, službám a produktom, ktoré sú založené na spracúvaní …

čl. I § 33 §
Pokiaľ nie je podiel zodpovednosti spoločných prevádzkovateľov určený osobitným predpisom, zaväzuje toto ustanovenie dvoch a viacerých prevádzkovateľov, ktorí spoločne určili účel a podmienky spracúvania osobných údajov, upraviť vzájomné zodpovednostné vzťahy pri plnení práv a povinností podľa tohto zákona vzájomnou dohodou, zmluvou. V dohode sú spoloční prevádzkovatelia povinní určiť kontaktné miesto pre dotknutú osobu, ktorej osobné údaje spracúvajú a poskytnúť tejto dotknutej osobe základné časti tejto dohody, najmä identifikáciu jednotlivých prevádzkovateľov, predmet zmluvy, ustanovenia upravujúce delenie ich vzájomných právomocí vo vzťahu k dotknutej osoby a jej osobným údajov, v dohode tiež musia uviesť a stanoviť kontaktné miesto, kde si dotknutá osoba môže uplatniť svoje práva. Dohoda spoločných prevádzkovateľov má mať takú formu, aby jej existenciu vedeli hodnoverne preukázať, môže byť písomná, uzatvorená elektronicky alebo inak tak, aby v prípade pochybností jej existenciu mohol každý z prevádzkovateľov preukázať, ako aj splnenie si prístupu a poskytnutia informácií dotknutej osobe. Bez ohľadu na rozdelenie zodpovednosti spoločnými prevádzkovateľmi v ich vzájomnej dohode, zmluve, dotknutá osoba …

čl. I § 34 §
V prípade, ak sa prevádzkovateľ rozhodne vykonávať svoje spracovateľské činnosti prostredníctvom inej osoby, je povinný takúto inú osobu, sprostredkovateľa, poveriť na základe zmluvy, plnej moci, poverenia či iného právneho aktu podľa osobitného predpisu. Poverenie je chápané ako samostatný právny úkon, alebo ako súčasť iného právneho aktu zakladajúceho práva a povinnosti, napríklad zmluvy. Takto poverený sprostredkovateľ vykonáva spracovateľské činnosti len na základe pokynov prevádzkovateľa a v jeho mene v súlade s týmto zákonom. Zmluva v súlade so zákonom musí obsahovať najmä predmet a dobu spracúvania, podmienky a účel spracúvania, zoznam alebo rozsah a typ osobných údajov, kategóriu dotknutých osôb, povinnosti a práva prevádzkovateľa a ďalšie náležitosti podľa tohto zákona. V prípade, ak osoba vykonáva spracovateľské činnosti v mene inej osoby, prevádzkovateľa, bez poverenia týmto prevádzkovateľom podľa tohto zákona, táto osoba má postavenie prevádzkovateľa a všetky povinnosti a zodpovednosti z tohto zákona plynúce prevádzkovateľovi. Prevádzkovateľ má poverovať spracúvaním osobných údajov vo svojom mene len takých sprostredkovateľov, jednotlivo, alebo istú kategóriu sprostredkovateľov, ktorí …

čl. I § 35 §
odsek 1 Ak prevádzkovateľ alebo sprostredkovateľ nemá sídlo, miesto podnikania, organizačnú zložku, prevádzkareň alebo trvalý pobyt na území Únie, a vykonáva spracovateľské činnosti, ktoré súvisia s ponukou tovaru alebo služieb dotknutým osobám nachádzajúcimi sa na území Slovenskej republiky bez ohľadu na to, či sa od dotknutej osoby vyžaduje platba, alebo vykonávané spracúvanie súvisí so sledovaním správania dotknutých osôb nachádzajúcich sa na území Slovenskej republiky, je tento prevádzkovateľ alebo sprostredkovateľ povinný písomne poveriť zástupcu so sídlom alebo trvalým pobytom na území jedného z členských štátov Únie. odsek 2 Ak spracúvanie osobných údajov vykonáva prevádzkovateľ alebo sprostredkovateľ povinnosť ustanoviť zástupcu prevádzkovateľa v členskom štáte Európskej únie sa ho netýka, ak je ním vykonávané spracúvanie osobných údajov občasné a nezahŕňa vo veľkom rozsahu spracúvanie osobitných kategórií osobných údajov alebo spracúvanie osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky, a nie je pravdepodobné, že takéto jeho spracúvanie povedie k riziku pre práva fyzických osôb, pričom sa zohľadní povaha, kontext, rozsah a …

čl. I § 36 §
Sprostredkovateľ a každá osoba konajúca na základe zmluvy alebo iného právneho aktu, napríklad poverenia prevádzkovateľom alebo sprostredkovateľom, majúca na základe tejto zmluvy alebo poverenia prístup k osobným údajom, môže tieto spracúvať len na základe daných pokynov alebo poverenia prevádzkovateľa alebo sprostredkovateľa alebo podľa osobitného predpisu, alebo medzinárodnej zmluvy ktorou je Slovenská republika viazaná ak osobitný zákon alebo zmluva stanovuje konkrétne podmienky spracúvania.

čl. I § 37 §
Ustanovenia určujú povinnosť prevádzkovateľa alebo sprostredkovateľa a v príslušnom prípade aj zástupcu prevádzkovateľa a sprostredkovateľa viesť a uchovávať záznamy o spracovateľských činnostiach, za ktoré sú zodpovední a ktoré vykonávajú, na účely preukázania súladu s týmto zákonom. Obsah záznamov je taxatívne určený týmto zákonom, pričom je povinnosť viesť záznamy v písomnej podobe alebo v elektronickej podobe. Prevádzkovateľ, sprostredkovateľ a v niektorých prípadoch aj zástupca prevádzkovateľa a sprostredkovateľa sú povinní na požiadanie úradu mu tieto záznamy sprístupniť. Prevádzkovateľ, sprostredkovateľ a ich zástupca nie je povinný viesť záznamy o spracovateľských činnostiach, ak kumulatívne spĺňa zákonom stanovené podmienky, a to zamestnáva menej ako 250 fyzických osôb, nie je pravdepodobné, že spracúvanie, ktoré vykonáva, povedie k riziku pre práva dotknutej osoby, je toto spracúvanie príležitostné, nezahŕňa osobitné kategórie osobných údajov, nezahŕňa osobné údaje týkajúce sa uznania viny za trestné činy a priestupky. Úrad na svojom webovom sídle zverejní vzor záznamu o spracovateľských činnostiach.

čl. I § 38 §
Prevádzkovateľ alebo sprostredkovateľ sú povinní nahradiť akúkoľvek škodu, ktorú môže dotknutá osoba utrpieť v dôsledku spracúvania osobných údajov, ktoré je v rozpore s týmto zákonom. Prevádzkovateľ alebo sprostredkovateľ nemajú takúto zodpovednosť, ak preukážu, že za škodu nenesú žiadnu zodpovednosť. Dotknuté osoby za utrpenú škodu majú dostať náhradu. Ak sú prevádzkovatelia alebo sprostredkovatelia zapojení do rovnakého spracúvania, zodpovedajú všetci spoločne a nerozdielne za celú škodu. Každý prevádzkovateľ alebo sprostredkovateľ, ktorý nahradil celú škodu, môže následne začať regresné konanie voči iným prevádzkovateľom alebo sprostredkovateľom zapojeným do toho istého spracúvania.

čl. I § 39 §
Prevádzkovateľ a sprostredkovateľ sú povinní zohľadniť bezpečnostné riziká v rámci technických a organizačných opatrení, ktoré sú povinní prijať na účely zabezpečenia ochrany spracúvaných osobných údajov na účely minimalizácie možného narušenia spracúvania a tak vzniku škody alebo ohrozenia spracúvaných osobných údajov pre dotknuté osoby. Prijatými bezpečnostnými opatreniami sa má zaistiť primeraná úroveň bezpečnosti osobných údajov vrátane ich dôvernosti, integrity a dostupnosti, pričom by sa mali zohľadniť najnovšie poznatky a náklady na vykonanie opatrení ako aj hroziace riziká a povaha osobných údajov, ktoré sa prijatými bezpečnostnými opatreniami majú chrániť. Na základe uvedeného prevádzkovateľ, ako aj sprostredkovateľ, zmapuje všetky spracovateľské činnosti v rámci cyklu osobných údajov, t.j. proces získania osobných údajov do vnútorného prostredia prevádzkovateľa alebo sprostredkovateľa, priebeh nakladania s osobnými údajmi v prostredí prevádzkovateľa alebo sprostredkovateľa pri vykonávaní hlavnej ako aj vedľajšej či príležitostnej činnosti prevádzkovateľom alebo sprostredkovateľom, uchovávanie, likvidácia a uvoľnenie osobných údajov z vnútorného priestoru prevádzkovateľa – napr. poskytnutie tretím stranám, zverejnenie, prenos do tretích krajín alebo medzinárodnej organizácii. Na …

čl. I § 40 §
Prevádzkovateľ alebo sprostredkovateľ spracúva osobné údaje dotknutej osoby. Obaja, tak prevádzkovateľ, ako aj sprostredkovateľ, sú v závislosti od toho, aké osobné údaje spracúvajú, povinní prijať ich adekvátnu ochranu a zamedziť alebo eliminovať na najnižšiu možnú mieru riziko ohrozenia spracúvaných osobných údajov, osobitne osobných údajov osobitnej kategórie. Môžu nastať situácie, kedy tak prevádzkovateľ, ako ani sprostredkovateľ napriek všetkej svojej odbornej starostlivosti, nebudú schopní zaistiť úplnú ochranu nimi spracúvaných osobných údajov tak, aby eliminovali všetky riziká a dôjde k porušeniu ochrany osobných údajov. V takom prípade je prevádzkovateľ povinný, hneď ako sa o porušení bezpečnosti ním spracúvaných osobných údajov dozvie, analyzovať dané porušenie bezpečnostných opatrení, možný bezpečnostný incident, posúdiť jeho závažnosť a posúdiť, či je spôsobilý viesť k riziku pre práva dotknutých osôb, teda či ho možno klasifikovať ako taký bezpečnostný incident ohrozujúci spracúvané osobné údaje. Ak prevádzkovateľ zhodnotí, že narušením bezpečnosti došlo zároveň aj ku vzniku bezpečnostného incidentu a ním spracúvané osobné údaje boli narušené, je povinný o tomto porušení ochrany …

čl. I § 41 §
Prevádzkovateľ, prípadne sprostredkovateľ nesie zodpovednosť za ochranu spracúvaných osobných údajov. V závislosti od toho, aké osobné údaje prevádzkovateľ spracúva, je povinný zabezpečiť ich adekvátnu ochranu tak, aby zamedzil alebo eliminoval na najnižšiu možnú mieru riziko ohrozenia ním spracúvaných osobných údajov, osobitne osobných údajov osobitnej kategórie. Prevádzkovateľ ani sprostredkovateľ, napriek všetkej svojej odbornej starostlivosti, nie sú za každých okolností schopní zaistiť úplnú ochranu nimi spracúvaných osobných údajov tak, aby eliminovali všetky riziká a dôjde k porušeniu ochrany osobných údajov. V takom prípade je prevádzkovateľ povinný, akonáhle sa o porušení ochrany ním spracúvaných osobných údajov dozvie, toto porušenie analyzovať, posúdiť jeho závažnosť, a to, či je spôsobilé viesť k riziku pre práva dotknutých osôb. V prípade, ak prevádzkovateľ zhodnotí, že porušenie ochrany osobných údajov pravdepodobne povedie k takémuto riziku , je povinný o tomto porušení ochrany osobných údajov informovať dotknutú osobu, aby mohla prijať, ak je to možné a vhodné, potrebné preventívne opatrenia. Takéto informovanie dotknutých osôb by sa malo vykonať čo …

čl. I § 42 §
odsek 1 Spracovateľské operácie, ktoré môžu viesť k vysokému riziku pre práva fyzických osôb z dôvodu ich povahy, rozsahu, kontextu a účelu môžu byť najmä tie, ktoré sú realizované prostredníctvom využitia nových technológií alebo tie, ktoré sú nového druhu a v súvislosti s ktorými prevádzkovateľ ešte nevykonal posúdenie vplyvu na ochranu osobných údajov a ich bezpečnosť. V takých prípadoch je prevádzkovateľ povinný pred začiatkom spracúvania osobných údajov vykonať posúdenie vplyvu spracovateľských činností na ich ochranu, aby posúdil pravdepodobnosť a závažnosť vysokého rizika na práva dotknutých osôb, pričom zohľadní povahu, rozsah, kontext a účely spracúvania a zdroje rizika. Uvedené posúdenie vplyvu by malo zahŕňať najmä plánované opatrenia, záruky a mechanizmy na zmiernenie daného vysokého rizika, na zabezpečenie ochrany osobných údajov a na preukázanie súladu s týmto zákonom. Prevádzkovateľ pri posúdení vplyvu na ochranu osobných údajov pri vybraných v zákone určených spracovateľských operáciách, ktoré pravdepodobne povedú k vysokému riziku posúdi vplyv na ochranu osobných údajov ešte pred samotnou konkrétnou spracovateľskou operáciou, a …

čl. I § 43 §
odsek 1 V prípade ak z posúdenia vplyvu ochrany osobných údajov vyplýva, že spracúvanie by viedlo k vysokému riziku pre práva dotknutých osôb (typ spracúvania; rozsah a frekvencia spracúvania, stupeň ochrany osobných údajov) v prípade, ak by prevádzkovateľ neprijal záruky, bezpečnostné opatrenia a mechanizmy na jeho zmiernenie, je prevádzkovateľ povinný pred začiatkom spracúvania osobných údajov požiadať úrad o predchádzajúcu konzultáciu. Prevádzkovateľ je povinný vykonať s úradom predchádzajúci konzultáciu, ak už využil všetky jemu dostupné a známe existujúce záruky, bezpečnostné opatrenia a mechanizmy na zmiernenie vysokého zvyškového rizika a súčasne sa prevádzkovateľ domnieva, že ani zvyškové riziko, ktoré vyšlo vysoké, sa nedá zmierniť primeranými prostriedkami, pokiaľ ide o dostupné technológie a náklady na vykonanie opatrení. odsek 2 a odsek 3 Účelom predchádzajúcej konzultácie je poradenská činnosť úradu prevádzkovateľovi prípadne sprostredkovateľovi k možným a existujúcim primeraným a účinným bezpečnostným opatreniam na zníženie vysokého zvyškového rizika, ktoré prevádzkovateľ nezohľadnil či neprijal, či napriek zohľadneniu nevie efektívne znížiť. Úrad taktiež na základe zaslanej žiadosti …

čl. I § 44 §
odsek 1 Uvedený odsek stanovuje spracovateľské operácie s osobnými údajmi pri ktorých, ak ich vykonávajú, majú povinnosť určiť zodpovednú osobu, osobu s odbornými znalosťami práva a postupov v oblasti ochrany údajov. odsek 2 a odsek 3 Prevádzkovatelia alebo sprostredkovatelia patriaci do jednej skupiny podnikov si môžu určiť jednu zodpovednú osobu za predpokladu, že takto spoločne ustanovená zodpovedná osoba bude mať možnosť reálne vykonávať a riadne si plniť svoje úlohy (napríklad v prípade vykonávania obhliadky serverov, kontroly bezpečnostných opatrení) a bude prístupná každému prevádzkovateľovi alebo sprostredkovateľovi (napríklad aj zo skupiny podnikov plniť povinnosti pre každý z nich samostatne) pre ktorých je ustanovená. Určenie jednej zodpovednej osoby je prípustné aj pre orgány verejne moci, za rovnakého predpokladu reálnej možnosti výkonu svojich úloh a dostupnosti pre každého prevádzkovateľa alebo sprostredkovateľa, a ak to organizačná štruktúra umožňuje. Zodpovedná osoba a jej poradenstvo má byť ľahko dostupné, teda „služby“ zodpovednej osoby majú byť dostupné napríklad v tom zmysle, že nie je si potrebné termín na …

čl. I § 45 §
Ak prevádzkovateľ a sprostredkovateľ majú povinnosť určiť zodpovednú osobu alebo sa dobrovoľne rozhodli ju určiť, je potrebné, aby ju riadne a včas zapojili do všetkých činností, ktoré sú pre ňu potrebné na to, aby si svoju funkciu zodpovednej osoby mohla riadne plniť. Je potrebné, aby od momentu jej určenia mala prístup do všetkých informačných a bezpečnostných systémov prevádzkovateľa alebo sprostredkovateľa. V rámci neustáleho rozvoja informačno-komunikačných technológií je potrebné, aby sa zodpovedná osoba pravidelne vzdelávala, v čom by ju prevádzkovateľ alebo sprostredkovateľ mal podporovať, aj finančne, keďže zvyšovanie jej vedomostí a zručností prispeje k lepšej ochrane osobných údajov v rámci jeho informačných systémov osobných údajov. Postavenie zodpovednej osoby je nezávislé a nestranné, a je zodpovedná osoba je povinná zachovávať mlčanlivosť v súvislosti s výkonom úloh zodpovednej osoby. Prevádzkovateľ a sprostredkovateľ môžu zasahovať do plnenia úloh zodpovednej osoby len ak sú princípy nestrannosti a nezávislosti zodpovednej osoby zachované. Ak zodpovedná osoba vykonáva iné činnosti pre prevádzkovateľa alebo sprostredkovateľa okrem úloh zodpovednej osoby, …

čl. I § 46 §
Stanovuje základné a podstatné úlohy, ktoré má zodpovedná osoba vykonávať a v súvislosti s ktorými je zodpovedná osoba povinná pri výkone týchto úloh zohľadniť riziká spojené so spracovateľskými operáciami (povahu, rozsah, kontext a účel). Úlohy zodpovednej osoby sú stanovené príkladným výpočtom, teda nie je vylúčené, aby zodpovedná osoba vykonávala aj iné činnosti spadajúce pod ochranu osobných údajov, ktorými ju prevádzkovateľ alebo sprostredkovateľ poverí, a ktoré nebudú negatívne zasahovať do výkonu úloh zodpovednej osoby podľa tohto zákona prípadne nepovedú ku konfliktu záujmov.

čl. I § 47 §
Stanovuje podmienky, za ktorých sa môže vykonať prenos osobných údajov, do tretej krajiny alebo medzinárodnej organizácii, sa môže uskutočniť len vtedy, ak prevádzkovateľ a sprostredkovateľ dodržiavajú podmienky, vrátane podmienok následného prenosu osobných údajov z predmetnej tretej krajiny alebo od predmetnej medzinárodnej organizácie do inej tretej krajiny alebo inej medzinárodnej organizácii. Cieľom je neohroziť úroveň ochrany osobných údajov fyzických osôb a zaručiť dodržiavanie podmienok ustanovených týmto zákonom, osobitnými predpismi alebo medzinárodnými zmluvami, ktorými je Slovenská republika viazaná.

čl. I § 48 §
Ustanovenie upravuje podmienky, na základe ktorých je možný prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii. odsek 1 Prvou z podmienok je existencia rozhodnutia Európskej komisie (ďalej len „Komisia“ alebo aj „Európska komisia“) o primeranosti úrovne ochrany osobných údajov, ktoré zverejňuje na svojom webovom sídle a ktoré následne zverejňuje aj úrad vo forme hypertextového odkazu na svojom webovom sídle. Takéto rozhodnutie zaisťuje právnu istotu a jednotnosť v celej Únii, pokiaľ ide o tretiu krajinu alebo medzinárodnú organizáciu, ktorá sa považuje za tretiu krajinu alebo medzinárodnú organizáciu poskytujúcu takúto dostatočnú úroveň ochrany. V takýchto prípadoch sa prenosy osobných údajov do takejto tretej krajiny alebo medzinárodnej organizácii môžu uskutočňovať bez potreby získania ďalšieho povolenia od úradu. odsek 2 Komisia môže dospieť k záveru, že tretia krajina, územie alebo určený sektor v tretej krajine, alebo medzinárodná organizácia už nezaručujú primeranú úroveň ochrany osobných údajov. V dôsledku toho by sa mal prenos osobných údajov do tejto tretej krajiny alebo medzinárodnej organizácii zakázať. Primerané …

čl. I § 49 §
Stanovuje podmienky kedy úrad schvaľuje záväzné vnútropodnikové pravidlá a ich minimálne obsahové náležitosti.

čl. I § 50 §
Niektoré tretie krajiny prijímajú zákony, iné právne predpisy a iné právne akty, ktoré priamo regulujú spracovateľské činnosti fyzických a právnických osôb v rámci jurisdikcie členských štátov, Slovenskú republiku nevynímajúc. To môže zahŕňať rozsudky súdov alebo tribunálov alebo rozhodnutia správnych orgánov tretích krajín, v ktorých sa od prevádzkovateľa alebo sprostredkovateľa vyžaduje prenos alebo poskytnutie osobných údajov a ktoré nie sú založené na platnej medzinárodnej dohode, napríklad zmluve o vzájomnej právnej pomoci, medzi žiadajúcou treťou krajinou a Európskou úniou alebo členským štátom. Extrateritoriálne uplatňovanie týchto zákonov, iných právnych predpisov a iných právnych aktov môže byť v rozpore s medzinárodným právom a môže ohroziť ochranu fyzických osôb zaručenú Európskym právom a Slovenskou republikou v tomto zákone. Prenosy osobných údajov vyplývajúce z extrateritoriality právnych predpisov tretích krajín budú povolené, len ak sa splnia podmienky uvedené v tomto zákone alebo osobitnom predpise pre prenosy do tretích krajín a ak rozhodnutia na základe ktorých má dôjsť k prenosu osobných údajov sú založené na medzinárodnej dohode, ako …

čl. I § 51 §
Výnimky v tomto ustanovení uvedené sa uplatnia predovšetkým na prenosy údajov, ak dotknutá osoba dala výslovný súhlas a boli jej poskytnuté zákonom stanovené informácie, ak je prenos občasný a potrebný v súvislosti so zmluvou alebo právnym nárokom, a to bez ohľadu na to, či ide o súdne konanie alebo správne či iné mimosúdne konanie, alebo ak si to vyžadujú dôležité dôvody verejného záujmu stanovené v osobitnom predpise alebo ak je prenos realizovaný z registra vytvoreného na základe osobitného predpisu a určeného na nahliadanie zo strany verejnosti alebo osôb s oprávneným záujmom. V poslednom uvedenom prípade by tento prenos nemal zahŕňať osobné údaje v ich celistvosti alebo celé kategórie osobných údajov obsiahnutých v registri a ak je register určený na nahliadanie zo strany osôb s oprávneným záujmom, prenos by sa mal vykonať len na požiadanie takýchto osôb alebo vtedy, ak majú byť takéto osoby príjemcami údajov, pričom sa vezmú plne do úvahy záujmy a práva dotknutej osoby. Výnimky v tomto ustanovení …

čl. I § 52 §
V tretej časti zákona sa transponuje smernica 2016/680, teda sa v nej ustanovujú pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania a odhaľovania trestnej činnosti, zisťovania páchateľov trestných činov, vyšetrovania trestných činov, stíhania trestných činov alebo na účely výkonu rozhodnutí v trestnom konaní vrátane ochrany pred ohrozením verejného poriadku a predchádzania takémuto ohrozeniu (ďalej len „plnenie úloh na účely trestného konania“). Príslušnými orgánmi sú v zmysle požiadaviek smernice Policajný zbor, Vojenská polícia, Zbor väzenskej a justičnej stráže, finančná správa, prokuratúra a súdy. Na postup príslušných orgánov pri spracúvaní osobných údajov na plnenie úloh na účely trestného konania sa vzťahujú § 6, § 8, § 11, § 12, § 13 ods. 2 tohto zákona rovnako.

čl. I § 53 §
Osobné údaje by mali byť primerané a relevantné vzhľadom na účely, na ktoré sa spracúvajú. Osobné údaje by sa mali spracúvať len vtedy, ak účel spracúvania nebolo možné za primeraných podmienok dosiahnuť inými prostriedkami.

čl. I § 54 §
Osobné údaje musia byť uchovávané vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na dosiahnutie účelu spracúvania.

čl. I § 55 §
Na to, aby bolo spracúvanie osobných údajov zákonné, by malo byť nevyhnutné na plnenie úloh na účely trestného konania príslušným orgánom na základe práva Únie alebo nášho vnútroštátneho práva. Plnenie úloh na účely trestného konania inštitucionálne zverené príslušným orgánom im umožňuje vyžadovať od fyzických osôb alebo im prikazovať, aby vyhoveli ich žiadostiam. V takomto prípade by právnym dôvodom na spracúvanie osobných údajov príslušnými orgánmi nemal byť súhlas dotknutej osoby v zmysle nariadenia (EÚ) 2016/679. Ak sa od dotknutej osoby požaduje splnenie zákonnej povinnosti, dotknutá osoba nemá skutočnú a slobodnú voľbu, takže reakcia dotknutej osoby by sa nemohla považovať za slobodné vyjadrenie jej vôle. To však nebráni ustanoviť prostredníctvom osobitného predpisu, že dotknutá osoba môže súhlasiť so spracúvaním svojich osobných údajov na plnenie úloh na účely trestného konania, ako sú napríklad testy DNA pri vyšetrovaní trestného činu alebo monitorovanie jej polohy pomocou technických prostriedkov pri výkone trestných sankcií. Ak osobné údaje pôvodne získal príslušný orgán pri plnení úloh na účely trestného …

čl. I § 56 §
Osobné údaje, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre práva a slobody vyplývať významné riziká. Uvedené osobné údaje zahŕňajú osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod. Takéto osobné údaje by sa nemali spracúvať, pokiaľ spracúvanie nepodlieha primeraným zárukám pre práva dotknutých osôb, ktoré sú ustanovené právnymi predpismi, pričom je prípustné v prípadoch povolených právnymi predpismi; ak spracúvanie ešte nie je povolené právnym predpisom, je nevyhnutné na ochranu životne dôležitých záujmov dotknutej alebo inej osoby; alebo ak sa spracúvanie týka údajov, ktoré preukázateľne zverejnila dotknutá osoba. Primerané záruky práv dotknutej osoby by mohli zahŕňať možnosť získať uvedené údaje iba v súvislosti s inými údajmi o dotknutej fyzickej osobe, možnosť primerane zabezpečiť získané údaje, prísnejšie pravidlá prístupu personálu príslušného orgánu k údajom a zákaz prenosu týchto údajov. Spracúvanie takýchto údajov by malo byť povolené právnymi predpismi, ak dotknutá osoba výslovne súhlasila so spracúvaním, ktoré je …

čl. I § 57 §
K spracúvaniu osobných údajov v oblasti justičnej spolupráce v trestných veciach a v oblasti policajnej spolupráce nevyhnutne patrí spracúvanie osobných údajov, ktoré sa týkajú rôznych kategórií dotknutých osôb. Preto by sa tam, kde je to uplatniteľné, malo v čo najväčšom možnom rozsahu jasne rozlišovať medzi osobnými údajmi rôznych kategórií dotknutých osôb, ako sú podozrivé osoby, osoby odsúdené za spáchanie trestného činu, obete a iné osoby, ako sú svedkovia, osoby disponujúce relevantnými informáciami alebo kontaktné osoby a spoločníci podozrivých osôb a odsúdených páchateľov trestných činov.

čl. I § 58 §
Príslušné orgány by mali zabezpečiť, aby sa osobné údaje, ktoré sú nesprávne, neúplné alebo už nie sú aktuálne, neprenášali ani nesprístupňovali. S cieľom zabezpečiť ochranu fyzických osôb, správnosť, úplnosť alebo mieru aktuálnosti a spoľahlivosť prenášaných alebo sprístupňovaných osobných údajov by mali príslušné orgány pri každom prenose osobných údajov podľa možnosti doplniť potrebné informácie.

čl. I § 59 §
Na príslušné orgány vzťahuje iba § 28 z druhej časti tohto zákona..

čl. I § 60 §
Dotknutej osobe by sa mali zo strany príslušných orgánov poskytnúť aspoň tieto informácie: označenie príslušného orgánu, kontaktné údaje zodpovednej osoby, účely spracúvania, právo podať sťažnosť a právo žiadať prístup k osobným údajom a ich opravu alebo vymazanie či obmedzenie spracúvania. Tieto informácie by sa mohli poskytnúť prostredníctvom webového sídla príslušného orgánu. S cieľom zaručiť spravodlivé spracúvanie vo vzťahu k dotknutej osobe a na to, aby mohla uplatňovať svoje práva, by mala byť okrem toho dotknutá osoba v osobitných prípadoch informovaná o právnom základe pre spracúvanie, o tom, ako dlho sa budú údaje uchovávať, účely spracúvania, kategórie príjemcov a prípadne ďalšie informácie.

čl. I § 61 §
Fyzická osoba by mala mať právo na prístup k údajom, ktoré boli o nej získané, a toto právo aj jednoducho uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť. Každá dotknutá osoba by preto mala mať právo vedieť a byť informovaná najmä o účeloch spracúvania údajov, kategóriách dotknutých osobných údajov a o dobe, počas ktorej sa budú údaje spracúvať, ako aj o príjemcoch osobných údajov atď. Na dodržanie tohto práva je dostatočné, aby mala dotknutá osoba k dispozícii úplné zhrnutie uvedených údajov v zrozumiteľnej forme, to znamená vo forme, ktorá umožňuje, aby bola dotknutá osoba informovaná o uvedených údajoch, aby si mohla uplatniť práva, ktoré jej tento zákon priznáva.

čl. I § 62 §
Fyzická osoba by tiež mala mať právo na opravu nesprávnych osobných údajov, ktoré sa jej týkajú, ako aj právo na ich vymazanie, ak je spracúvanie takýchto údajov v rozpore so zákonom. Právom na opravu by však nemal byť napríklad dotknutý obsah svedeckej výpovede. Fyzická osoba by mala mať právo na obmedzenie spracúvania, ak napadne správnosť osobných údajov a nemožno určiť ich správnosť či nesprávnosť, alebo keď je potrebné osobné údaje uchovať na účely dokazovania. Namiesto vymazania osobných údajov by sa spracúvanie malo obmedziť najmä vtedy, keď sa v osobitnom prípade možno odôvodnene domnievať, že vymazanie by mohlo ovplyvniť oprávnené záujmy dotknutej osoby. V takomto prípade by sa obmedzené údaje mali spracúvať len na účely, ktoré zabránili ich vymazaniu. Metódy na obmedzenie spracúvania osobných údajov by okrem iného mohli zahŕňať presunutie vybraných údajov do iného systému spracúvania, napríklad na účely archivácie, alebo zamedzenie prístupu k nim. V automatizovaných informačných systémoch by sa obmedzenie spracúvania malo v zásade zabezpečiť technickými prostriedkami. Skutočnosť, …

čl. I § 63 §
Podľa tohto ustanovenia sa poskytovanie informácií dotknutým osobám odloží, obmedzí alebo sa od neho upustí, alebo sa úplne či čiastočne obmedzí prístup k ich osobným údajom, a to v takom rozsahu a na tak dlho, ako je toto opatrenie s náležitým zreteľom na práva a oprávnené záujmy dotknutej fyzickej osoby v demokratickej spoločnosti nevyhnutné a primerané, aby sa zabránilo mareniu úradného alebo súdneho zisťovania, vyšetrovania alebo konania, aby sa zabránilo ohrozeniu plnenia úloh na účely trestného konania, aby sa ochránila verejná bezpečnosť alebo národná bezpečnosť, alebo aby sa ochránili práva a slobody iných. Príslušný orgán by mal prostredníctvom konkrétneho a individuálneho preskúmania každého prípadu posúdiť, či by sa právo na prístup malo čiastočne alebo úplne obmedziť. Akékoľvek zamietnutie alebo obmedzenie prístupu by malo byť dotknutej osobe v zásade oznámené písomne a malo by zahŕňať skutkové alebo právne dôvody, na ktorých je toto rozhodnutie založené.

čl. I § 64 §
Oprava alebo vymazanie osobných údajov alebo obmedzenie spracúvania by sa mali oznámiť príslušným orgánom, od ktorých nesprávne údaje pochádzajú. Príjemcovia týchto údajov by takisto mali nimi spracúvané osobné údaje opraviť, vymazať alebo obmedziť ich spracúvanie.

čl. I § 65 §
Keďže smernica 2016/680 nebráni členským štátom v tom, aby implementovali výkon práv dotknutých osôb na informácie, prístup a opravu alebo vymazanie osobných údajov a obmedzenie spracúvania počas trestného konania, ako aj prípadné obmedzenia týchto práv do vnútroštátnych predpisov upravujúcich trestné právo procesné, platí, že ak sa osobné údaje spracúvajú počas vyšetrovania trestného činu a súdneho konania v trestných veciach, uplatňovanie práva na informácie, prístup a opravu alebo vymazanie osobných údajov a obmedzenie spracúvania sa vykonáva v súlade s Trestným poriadkom, resp. zákonom o súdoch.

čl. I § 66 §
Dotknutá osoba by mala mať právo na to, aby sa na ňu nevzťahovalo rozhodnutie hodnotiace osobné aspekty s ňou súvisiace, ktoré je založené výlučne na automatizovanom spracúvaní a ktoré má pre túto osobu nepriaznivé právne účinky alebo významné dôsledky. V každom prípade by takéto spracúvanie malo podliehať primeraným zárukám vrátane poskytnutia určitých informácií dotknutej osobe a právu na iný ako automatizovaný zásah, ľudský zásah (kontrolu spracúvania, ktoré bolo primárne nastavené, aby bolo konané automatizovane formou algoritmu vykoná na základe žiadosti dotknutej osoby zamestnanec prevádzkovateľa, pôjde o fyzickú kontrolu automatizovaného spracúvania a prípadné odstránenie chýb ak vznikli napríklad nesprávnym nastavením algoritmu alebo jeho neoprávnenou zmenou alebo znefunkčnením), najmä vyjadriť svoj názor, dostať vysvetlenie k rozhodnutiu dosiahnutému po takomto posúdení alebo napadnúť toto rozhodnutie. Profilovanie, ktoré vedie k diskriminácii fyzických osôb na základe osobných údajov, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami a slobodami, sa zakazuje.

čl. I § 67 §
Vymedzuje ktoré ustanovenia sa vzťahujú na spracúvanie osobných údajov na príslušné orgány z druhej časti tohto zákona.

čl. I § 68 §
Ustanovuje sa lehota na vymazanie osobných údajov a na pravidelné preskúmanie potreby uchovávania osobných údajov. Osobitný predpis môže túto lehotu vo vzťahu ku konkrétnemu príslušnému orgánu skrátiť aj na častejšie ako raz za tri roky. Záznamy o spracovateľských činnostiach, ktoré vedú príslušné orgány, musia obsahovať aj informácie o použití profilovania a uvedenie právneho základu pre spracovateľské operácie.

čl. I § 69 §
Logy by sa mali viesť pre operácie v systémoch automatizovaného spracúvania ako je získavanie, zmena, prehliadanie, poskytovanie vrátane prenosov, kombinovanie alebo vymazanie. Mali by sa zaznamenávať dôvody spracovateľských operácií, dátum a čas operácie a pokiaľ možno aj identifikačné údaje osoby, ktorá osobné údaje prehliadala alebo ich poskytla a totožnosť príjemcov. Logy by sa mali využívať výlučne na overovanie zákonnosti spracúvania, vlastné monitorovanie, zabezpečenie integrity a bezpečnosti údajov a na účely trestného konania. Vlastné monitorovanie by malo zahŕňať aj interné disciplinárne konanie príslušných orgánov.

čl. I § 70 §
V určitých prípadoch by príslušný orgán alebo sprostredkovateľ mali uskutočniť s dozorným orgánom konzultácie pred spracúvaním s cieľom zabezpečiť účinnú ochranu práv dotknutých osôb.

čl. I § 71 §
S cieľom zachovať bezpečnosť a predchádzať spracúvaniu, ktoré je v rozpore s týmto zákonom, by príslušný orgán alebo sprostredkovateľ mali posúdiť riziká súvisiace so spracúvaním a mali by prijať opatrenia na zmiernenie týchto rizík, ako napríklad šifrovanie. Takýmito opatreniami by sa mala zabezpečiť primeraná úroveň bezpečnosti vrátane dôvernosti a mali by sa zohľadniť najnovšie poznatky, náklady na vykonanie opatrení v súvislosti s rizikami a povahou osobných údajov, ktoré sa majú chrániť. Pri posudzovaní rizík v oblasti bezpečnosti údajov by sa mali zohľadniť riziká spojené so spracúvaním údajov, ako sú napríklad náhodná alebo nezákonná likvidácia, strata, zmena alebo neoprávnené poskytovanie prenášaných, uchovávaných alebo inak spracúvaných osobných údajov alebo neoprávnený prístup k nim, ktoré by mohli viesť k ujme na zdraví, majetkovej alebo nemajetkovej ujme. Príslušný orgán a sprostredkovateľ by mali zabezpečiť, aby spracúvanie osobných údajov nevykonávali neoprávnené osoby.

čl. I § 72 §
Ak sa porušenie ochrany osobných údajov nerieši primeraným spôsobom a včas, môže fyzickým osobám spôsobiť ujmu na zdraví, majetkovú alebo nemajetkovú ujmu, ako je napríklad strata kontroly nad svojimi osobnými údajmi alebo obmedzenie práv týchto osôb, diskriminácia, krádež totožnosti alebo podvod, finančná strata, neoprávnená reverzná pseudonymizácia, poškodenie dobrého mena, strata dôvernosti osobných údajov chránených profesijným tajomstvom alebo akékoľvek iné závažné hospodárske či sociálne znevýhodnenie dotknutej fyzickej osoby. Príslušný orgán by mal preto ihneď, ako sa dozvie, že došlo k porušeniu ochrany osobných údajov, najneskôr do 72 hodín od okamihu, ako sa dozvedel, že došlo k porušeniu ochrany osobných údajov, toto porušenie oznámiť dozornému orgánu s výnimkou prípadov, keď vie príslušný orgán v súlade so zásadou zodpovednosti preukázať, že nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva fyzických osôb. Ak nie je možné oznámenie podať do 72 hodín, malo by k oznámeniu pripojiť odôvodnenie omeškania, pričom informácie možno poskytnúť vo viacerých fázach bez ďalšieho zbytočného odkladu. …

čl. I § 73 §
Určuje, ktoré ustanovenia tohto zákona druhej časti sa vzťahujú na spracúvanie osobných údajov príslušnými orgánmi pri prenose osobných údajov do tretích krajín a medzinárodným organizáciám. Ustanovenie deklaruje že prenos osobných údajov medzi príslušnými orgánmi v rámci Európskej únie sa zaručuje ak sa takýto prenos vyžaduje podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná.

čl. I § 74 §
Prenos do tretej krajiny alebo medzinárodnej organizácii sa môže uskutočniť len vtedy, ak je to potrebné na plnenie úloh na účely trestného konania, pričom prevádzkovateľ v tretej krajine alebo medzinárodná organizácia je príslušným orgánom v zmysle tohto zákona. Prenos by mali uskutočniť len príslušné orgány konajúce ako prevádzkovatelia s výnimkou prípadov, keď sa sprostredkovateľom výslovne udelil pokyn uskutočniť prenos v mene príslušných orgánov. Takýto prenos sa môže uskutočniť v prípade, že Komisia rozhodla, že daná tretia krajina alebo medzinárodná organizácia zaručuje primeranú úroveň ochrany, ak sa poskytli primerané záruky, alebo ak platia výnimky pre osobitné situácie. Úroveň ochrany fyzických osôb by nemala byť ohrozená, keď sa osobné údaje prenášajú z Únie prevádzkovateľom, sprostredkovateľom alebo iným príjemcom v tretích krajinách alebo medzinárodným organizáciám, a to ani v prípadoch následného prenosu osobných údajov z tretej krajiny alebo medzinárodnej organizácie prevádzkovateľom či sprostredkovateľom v rovnakej alebo inej tretej krajine alebo medzinárodnej organizácii. V prípade prenosu osobných údajov do tretích krajín alebo medzinárodným organizáciám …

čl. I § 75 §
Prenosy, ktoré nie sú založené na rozhodnutí o primeranosti, by sa mali umožniť len vtedy, ak sa poskytli primerané záruky v právne záväznom akte, ktorý zaručuje ochranu osobných údajov, alebo ak príslušný orgán posúdil všetky okolnosti sprevádzajúce prenos údajov a na základe tohto posúdenia dospel k záveru, že existujú primerané záruky ochrany osobných údajov. Právne záväznými aktmi môžu byť napríklad právne záväzné dvojstranné dohody, ktorých výkonu by sa mohli domáhať dotknuté osoby, zabezpečujúce súlad s požiadavkami na ochranu údajov a práva dotknutých osôb vrátane práva na účinný správny alebo súdny prostriedok nápravy. Príslušný orgán môže zohľadniť aj skutočnosť, že prenos osobných údajov bude podliehať povinnostiam zachovávania dôvernosti a zásade špecifickosti, čím sa zabezpečí, že údaje sa nebudú spracúvať na iné účely, než sú účely prenosu. Okrem toho by mal príslušný orgán zohľadniť, že osobné údaje sa nepoužijú na požadovanie, uloženie alebo vykonanie trestu smrti alebo akejkoľvek inej formy krutého alebo neľudského zaobchádzania. Hoci by sa uvedené podmienky mohli považovať za …

čl. I § 76 §
V prípadoch, keď neexistuje žiadne rozhodnutie o primeranosti ani primerané záruky, malo by byť možné uskutočniť prenos alebo kategóriu prenosov len v osobitných situáciách, ak je to nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby či inej osoby alebo na zabezpečenie oprávnených záujmov dotknutej osoby za podmienok v tomto ustanovení; na predchádzanie bezprostrednému a vážnemu ohrozeniu verejnej bezpečnosti členského štátu alebo tretej krajiny; v jednotlivom prípade na plnenie úloh na účely trestného konania; alebo v jednotlivom prípade na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov. Uvedené výnimky by sa mali vykladať reštriktívne a nemali by umožňovať časté, hromadné a štruktúrované prenosy osobných údajov alebo rozsiahle prenosy údajov, ale mali by byť obmedzené na nevyhnutne potrebné údaje. Takéto prenosy musia byť zdokumentované a musia sa na požiadanie sprístupniť dozornému orgánu na účely monitorovania zákonnosti prenosu.

čl. I § 77 §
Príslušné orgány uplatňujú platné dvojstranné alebo mnohostranné medzinárodné dohody uzavreté s tretími krajinami v oblasti justičnej spolupráce v trestných veciach a policajnej spolupráce na výmenu relevantných informácií, ktoré im umožňujú výkon ich úloh uložených zákonom. V zásade sa to uskutočňuje na základe spolupráce orgánov dotknutých tretích krajín príslušných na plnenie úloh na účely trestného konania alebo aspoň v spolupráci s nimi, niekedy dokonca aj vtedy, ak dvojstranná či mnohostranná medzinárodná dohoda neexistuje. V osobitných jednotlivých prípadoch však riadne postupy požadujúce nadviazanie kontaktu s takýmto orgánom v tretej krajine môžu byť neefektívne alebo nevhodné, najmä preto, že by sa presun nemohol uskutočniť včas, alebo preto, že tento orgán v tretej krajine nedodržiava zásady právneho štátu alebo medzinárodné normy a štandardy v oblasti ľudských práv, a preto by sa príslušné orgány mohli rozhodnúť, že uskutočnia prenos osobných údajov priamo príjemcom usadeným v týchto tretích krajinách. Možno tak postupovať vtedy, keď je naliehavo potrebné vykonať prenos osobných údajov na záchranu života osoby, ktorej …

čl. I § 78 §
Týmto ustanovením došlo k prijatiu vnútroštátnej úpravy pre v nariadení určené oblasti ochrany osobných údajov. Nariadenie vo svojich splnomocňujúcich ustanoveniach umožnilo členským štátom Únie prijať vo vnútroštátnom práve legislatívne opatrenia pre oblasť ochrany osobných údajov, ktorými môžu určiť výnimky a odchýlky potrebné v týchto určených oblastiach ochrany osobných údajov, najmä na dosiahnutie rovnováhy medzi právami dotknutých osôb a spracovateľskej činnosti prevádzkovateľov. V prípade, že sa takéto výnimky alebo odchýlky členských štátov navzájom líšia, rozhodným právom je právo členského štátu, ktorému podlieha prevádzkovateľ. odsek 1 až odsek 3 Ustanovuje podmienky spracúvania osobných údajov fyzickej dotknutej osoby kedy na spracúvanie osobných údajov dotknutej osoby za dodržania osobitne stanovených podmienok nie je potrebný súhlas dotknutej osoby. Ide o spracúvanie osobných údajov dotknutej osoby bez jej súhlasu na účely akademické, umelecké alebo literárne, alebo ak spracúvanie osobných údajov je nevyhnutné pre potreby informovania verejnosti masovokomunikačnými prostriedkami a ak osobné údaje spracúva prevádzkovateľ, ktorému to vyplýva z predmetu činnosti, prípadne ide o situáciu kedy je …

čl. I § 79 §
Stanovuje povinnosť mlčanlivosti pre prevádzkovateľa a sprostredkovateľa o osobných údajoch, ktoré spracúvajú, pričom platí, že povinnosť mlčanlivosti obdobne platí aj pre zamestnancov prevádzkovateľa a sprostredkovateľa, ktorí z titulu svojej práce alebo vzhľadom na svoje povinnosti prídu do styku s osobnými údajmi, pre nich platí obdobne povinnosť zachovať mlčanlivosť, a to aj po skončení pracovného vzťahu u prevádzkovateľa alebo sprostredkovateľa. Tento zákon tiež stanovuje výnimky, kedy sa povinnosť mlčanlivosti neuplatní, a to ak je to nevyhnutné na plnenie úloh súdu a orgánov činných v trestnom konaní podľa osobitného zákona, tým nie sú dotknuté ustanovenia o mlčanlivosti podľa osobitných predpisov, taktiež povinnosť mlčanlivosti neplatí a nepoužije sa vo vzťahu k úradu pri plnení úloh podľa tohto zákona.

čl. I § 80 §
Na základe tohto zákona sa zriaďuje úrad, ako orgán štátnej správy s celoslovenskou pôsobnosťou, ktorý vykonáva dozor nad ochranou osobných údajov, vrátane dozoru nad ochranou osobných údajov spracúvaných príslušnými orgánmi, okrem prípadov podľa § 81 ods. 7 a 8 tohto zákona, a podieľa sa na ochrane práv fyzických osôb pri spracúvaní ich osobných údajov. Sídlom úradu je Bratislava. Úrad na plnenie úloh dozorného orgánu nad ochranou osobných údajov môže zriaďovať a zrušovať detašované pracoviská mimo svojho sídla a určovať územný obvod ich pôsobnosti. Úrad pri výkone svojej pôsobnosti postupuje nezávisle a riadi sa ústavou, ústavnými zákonmi, zákonmi, ostatnými všeobecne záväznými právnymi predpismi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná. Úrad je rozpočtovou organizáciou, návrh rozpočtu predkladá úrad ako súčasť kapitoly Všeobecná pokladničná správa, schválený rozpočet úradu môže znížiť v priebehu kalendárneho roku iba Národná rada Slovenskej republiky. Podrobnosti o organizácii úradu upraví organizačný poriadok úradu, ktorý vydá predseda úradu.

čl. I § 81 §
Definuje pozitívnym výpočtom úlohy a právomoci, ktoré úrad vykonáva na základe tohto zákona a článku 57 až 59 nariadenia. Úrad ma pozitívnym spôsobom vymedzené úlohy, ktoré plní na základe tohto zákona alebo na základe nariadenia. V ustanovení sa pozitívnym spôsobom vymedzujú oprávnenia úradu, ktoré môže pri plnení svojich úloh vykonávať. Stanovuje sa, že predmetom dozoru nad ochranou osobných údajov nie sú spory zo zmluvných alebo predzmluvných vzťahov medzi prevádzkovateľom alebo sprostredkovateľom a dotknutými osobami alebo inými fyzickými osobami, alebo právnickými osobami, na ktorých prejednávanie a rozhodovanie sú príslušné súdy alebo iné orgány podľa osobitných predpisov. Úrad nie je príslušný na vykonávanie dozoru nad spracúvaním osobných údajov súdmi pri výkone ich súdnej právomoci, túto dozornú úlohu plní Ministerstvo spravodlivosti Slovenskej republiky. Taktiež úrad neplní dozornú právomoc voči Národnému bezpečnostnému úradu vykonávajúcemu spracúvanie podľa osobitného predpisu, dozor vykonáva v tomto prípade Národná rada Slovenskej republiky.

čl. I § 82 §
Ustanovujú sa náležitosti týkajúce sa najvyššieho predstaviteľa úradu, štatutárneho orgánu úradu, ktorým je predseda úradu volený a odvolávaný Národnou radou Slovenskej republiky na návrh vlády Slovenskej republiky. Ustanovuje sa dĺžka jeho funkčného obdobia a možnosť jeho opakovanej voľky. Zákon ustanovuje náležitosti, ktoré musí splniť občan Slovenskej republiky na to, aby mohol byť za predsedu úradu zvolený. Ustanovujú sa situácie, kedy výkon funkcie predsedu zaniká a kedy predseda úradu môže byť z funkcie odvolaný. Platové náležitosti predsedu úradu určuje vláda.

čl. I § 83 §
Vymedzuje a definuje podpredsedu úradu z hľadiska jeho kreovania a vymenovania do funkcie a taktiež určuje orgány, ktorým táto právomoc patrí. Podpredseda úradu zastupuje predsedu úradu a tiež sa na neho primerane vzťahujú v zákone špecifikované ustanovenia týkajúce sa predsedu úradu.

čl. I § 84 §
Stanovuje povinnosť všetkých zamestnancov úradu, vrátane predsedu a podpredsedu úradu, aby boli pri svojej činnosti zaviazaní zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedia z titulu plnenia si svojich pracovných a služobných povinností. Ustanovenie vymedzuje, že povinnosť mlčanlivosti sú povinní zamestnanci úradu dodržiavať nielen počas trvania ich funkčného obdobia alebo štátnozamestnaneckého pomeru, alebo ich výkonu práce vo verejnom záujme, ako aj po jeho skončení, nakoľko aj potom sú niektoré informácie a skutočnosti, ktoré sú im známe z ich pôsobenia na úrade zásadné a ich prezradením by mohlo dôjsť napríklad k ohrozeniu ochrany osobných údajov, a to napríklad prezradením bezpečnostných opatrení prevádzkovateľa. Povinnosť mlčanlivosti zamestnanec úradu nie je povinný dodržiavať a neplatí, ak je poskytnutie informácie potrebné a nevyhnutné na plnenie úloh súdu alebo orgánov činných v trestnom konaní podľa osobitného predpisu, ak tým nebude porušená povinnosť mlčanlivosti podľa iného predpisu. Oslobodiť od povinnosti mlčanlivosti zamestnancov môže predseda úradu a predsedu úradu Národná rada Slovenskej republiky.

čl. I § 85 §
odsek 1 a 2 Vykonanie primeraných opatrení a preukázanie súladu prevádzkovateľom alebo sprostredkovateľom, najmä pokiaľ ide o identifikáciu rizika súvisiaceho so spracúvaním osobných údajov, na jeho posúdenie so zreteľom na pôvod, povahu, pravdepodobnosť a závažnosť, a na identifikáciu najlepších postupov na zmiernenie rizika pri spracúvaní osobných údajov sa môže prijať najmä na základe úradom schválených kódexov správania. Schváleným kódexom správania skupina prevádzkovateľov alebo sprostredkovateľov deklaruje, že predmet, na ktorý sa kódex správania vzťahuje a v kontexte predmetu aj spracovateľské operácie s osobnými údajmi sú vykonávané členmi kódexu správania v súlade so zákonom a nariadením. Navonok možno kódex správania považovať za deklarovanie súladu so zákonom a nariadením voči dotknutým osobám, úradu a iným prevádzkovateľom alebo sprostredkovateľom. Dovnútra prevádzkovateľa alebo sprostredkovateľa dodržiavanie schváleného kódexu správania znamená, že prevádzkovateľ alebo sprostredkovateľ musí činnosti a spracovateľské operácie, na ktoré má schválený kódex správania, mať v súlade so zákonom a nariadením, teda má aj svoje vnútorné procesy napríklad voči zamestnancom spracúvajúcim osobné údaje nastavené tak, …

čl. I § 86 §
odsek 1 a 2 Na účely preukázania súladu spracúvania osobných údajov a existencie primeraných záruk ochrany osobných údajov podľa tohto zákona alebo osobitného predpisu môže prevádzkovateľ alebo sprostredkovateľ požiadať úrad alebo certifikačný subjekt o vydanie alebo obnovenie certifikátu. Proces vydávania, odnímania a obnovy certifikátu má vo svojej kompetencii úrad a certifikačný subjekt akreditovaný úradom. odsek 3 Úrad alebo certifikačný subjekt posudzuje v rámci konania o vydanie certifikátu súlad spracúvania osobných údajov a existenciu primeraných záruk ochrany osobných údajov prevádzkovateľa alebo sprostredkovateľa na základe certifikačných kritérií v súlade s týmto zákonom, pričom platí, že vydanie certifikátu neznižuje zodpovednosť prevádzkovateľa alebo sprostredkovateľa za dodržiavanie tohto zákona a nariadenia a nie sú ním ani dotknuté právomoci úradu. odsek 4 až 8 Stanovuje sa kto podáva úradu žiadosť o vydanie certifikátu alebo jeho obnovu, aké náležitosti musí žiadosť mať, aké doklady a písomnosti je potrebné k žiadosti priložiť. Je definovaný postup úradu v prípade, ak žiadateľ podal úradu neúplnú žiadosť alebo ak v konaní …

čl. I § 87 §
odsek 1 až 3 Úradom schválené kódexy správania sa majú monitorovať, túto monitorovaciu činnosť vykonávajú subjekty akreditované úradom s dostatočným materiálnym a personálnym vybavením, ktoré v rámci posúdenia spôsobilosti žiadateľa o to, aby bol akreditovaný úradom posudzuje úrad. Stanovuje sa, kto môže byť akreditovaným monitorujúcim subjektom. Kódexy správania schválené úradom pre orgány verejnej moci a verejnoprávne subjekty nepodliehajú činnosti monitorovacieho subjektu, tým nie sú dotknuté právomoci úradu podľa tohto zákona, vrátane dozornej činnosti úradu. Kódexy správania schválené úradom pre orgány verejnej moci a verejnoprávne subjekty môžu byť predmetom kontroly zo strany úradu, v rámci ktorej sa v zmysle vytýčeného predmetu kontroly bude môcť posudzovať súladnosť a dodržiavanie schváleného kódexu správania týchto subjektov. odsek 4 a 5 Stanovujú sa oprávnenia monitorujúceho subjektu a tiež povinnosť a lehota o prijatých opatreniach informovať úrad. odsek 6 až 9 Stanovuje sa kto podáva úradu žiadosť o akreditáciu monitorujúceho subjektu, aké náležitosti musí žiadosť mať, aké doklady a písomnosti je potrebné k žiadosti priložiť. Je …

čl. I § 88 §
odsek 1 až 3 Posúdenie súladu spracúvania osobných údajov a existenciu primeraných záruk ochrany osobných údajov podľa tohto zákona a nariadenie posudzuje certifikačný subjekt, ktorý je akreditovaný úradom a ktorý spĺňa materiálne, personálne a technické predpoklady na to, aby mohol uvedenú činnosť vykonávať. Výsledkom tejto činnosti, posudzovania súladu procesov spracúvania nastavených prevádzkovateľom alebo sprostredkovateľom so zákonom alebo nariadením je vydanie certifikátu certifikačným subjektom, obnova certifikátu certifikačným subjektom alebo aj odňatie certifikátu certifikačným subjektom. Certifikačným subjektom môže byť iba právnická osoba alebo fyzická osoba – podnikateľ. odsek 4 až 10, 13, 14 Stanovuje sa kto podáva úradu žiadosť o udelenie akreditácie, aké náležitosti musí žiadosť mať, aké doklady a písomnosti je potrebné k žiadosti priložiť. Je definovaný postup úradu v prípade, ak žiadateľ podal úradu neúplnú žiadosť alebo ak v konaní o akreditáciu certifikačného subjektu vzniknú pochybnosti o preukázaní súladu so zákonom a nariadením. Ustanovuje sa priebeh konania o udelení akreditácie a prípady, kedy je možné sa proti rozhodnutiu v konaní …

čl. I § 89 §
Stanovujú sa povinnosti certifikačného subjektu vo vzťahu k úradu a dotknutému prevádzkovateľovi alebo sprostredkovateľovi vo vzťahu k procesu vydania, obnovy alebo odňatia certifikátu.

čl. I § 90 §
Kontrola je vykonávaná zamestnancami úradu, ktorí sa na tento účel stávajú členmi kontrolného orgánu, a to na základe písomného poverenia vedúceho zamestnanca alebo predsedu úradu. Pri rozhodnutí, ktorí zo zamestnancov sa v konkrétnom prípade stanú členmi kontrolného orgánu je braná do úvahy požiadavka na odborný a nestranný výkon kontroly a na príslušné vzdelanie a prípadnú prax. Kontrole podlieha prevádzkovateľ, sprostredkovateľ, prípade zástupca prevádzkovateľa alebo sprostredkovateľa lebo držiteľ osvedčenia o udelení akreditácie. Kontrolou sa rozumie kontrola spracúvania osobných údajov, kontrola dodržiavania schválených kódexov správania, kontrola súladu spracúvania osobných údajov s vydaným certifikátom a kontrola dodržiavania vydaného osvedčenia o udelení akreditácie. Kontrolu môže kontrolný orgán (úrad) vykonávať na základe plánu kontrol alebo na základe skutočností, ktoré sa dozvedel v rámci svojej činnosti, na základe podozrenia z porušenia povinností pri spracúvaní osobných údajov, či na základe dopytu útvaru úradu v rámci konania o ochrane osobných údajov pri výkone dozornej činnosti. Začiatok kontroly je viazaný na doručenie oznámenia o kontrole kontrolovanej osobe. Platí, že …

čl. I § 91 §
Ustanovenie upravuje zaujatosť v rámci kontroly a postup v prípade, ak sa kontrolný orgán alebo kontrolovaná osoba sa dozvedeli o skutočnostiach zakladajúcich pochybnosti o zaujatosti kontrolného orgánu so zreteľom na jeho vzťah k predmetu kontroly alebo ku kontrolovanej osobe. Podanie námietok zaujatosti nemá odkladný účinok a kontrolný orgán je povinný v rámci už začatej kontroly vykonať aj napriek podaným námietkam len všetky také úkony, ktoré neznesú odklad. O námietkach zaujatosti kontrolovanej osoby a o oznámení zaujatosti člena kontrolného orgánu rozhodne ten kto kontrolný orgán poveril v lehote 10 pracovných dní od ich uplatnenia. Písomné vyhodnotenie rozhodnutia sa doručí tomu, kto námietku uplatnil. Proti rozhodnutiu o námietkach zaujatosti a proti rozhodnutiu o oznámení zaujatosti člena kontrolného orgánu nemožno podať rozklad.

čl. I § 92 a k § 93 §
Kontrolný orgán je pri výkone kontroly povinný postupovať v súlade so zákonom. Za týmto účelom, aby nedochádzalo k svojvoľnému konaniu kontrolného orgánu, zákon upravuje jeho povinnosti, na ktoré nadväzujú jeho oprávnenia podľa tohto zákona.

čl. I § 94 a k § 95 §
Kontrolovaná osoba na účely riadneho výkonu kontroly je povinná svojím správaním a konaním vychádzať kontrolnému subjektu v ústrety, a to najmä na účely riadneho, správneho a podľa možnosti časom primeraného výkonu kontroly; jej povinnosti na tento účel zákon vymenúva taxatívne. Ďalej je kontrolovaná osoba povinná poskytovať kontrolnému orgánu pri výkone kontroly potrebnú súčinnosť v súlade s jeho oprávneniami a zdržať sa akéhokoľvek konania, ktoré by mohlo výkon kontroly mariť. Tento zákon taxatívnym výpočtom následne ustanovuje aj oprávnenia kontrolovanej osoby. Kontrola spracúvania osobných údajov sa vykonáva najmä v priestoroch kontrolovanej osoby, kde sa nachádzajú informačné systémy osobných údajov alebo kde je možné k nim mať priamy prístup. Výkonom kontroly sa myslí aj zaistenie vstupu do informačného systému kontrolovanej osoby alebo umožnenie prístupu do neho na účely kontroly a preverenie funkčnosti a aplikácie zavedených bezpečnostných opatrení a mechanizmov.

čl. I § 96 §
Spracúvanie osobných údajov, ktoré podlieha kontrole úradom, prebieha za využitia rôznych technických a technologických prostriedkov, ktoré často zohľadňujú najnovšie trendy vo využívaní informačno-komunikačných technológií a sú náročné na odborné posúdenie. Zákon pamätá aj na prípady, keď je potrebné ku kontrole spracúvania osobných údajov v informačnom systéme prizvať odborníka zo špecifickej oblasti, ktorý poskytne úradu odborné stanovisko. Prizvaná osoba sa zúčastňuje kontroly spracúvania na základe písomného poverenia vedúceho zamestnanca a o jej účasti na kontrole je povinný úrad kontrolovanú osobu upovedomiť. Účasť takejto osoby na kontrole sa považuje za iný úkon vo všeobecnom záujme, za ktorý jej patrí náhrada mzdy, prípadne platu vo výške priemerného zárobku podľa osobitného predpisu, pričom podmienky účasti tejto osoby na kontrole dohodne úrad s prizvanou osobou podľa ustanovení osobitných predpisov. Kontrolovaná osoba je oprávnená vzniesť preukázateľné námietky o zaujatosti prizvanej osoby. O námietkach bez možnosti odvolania sa proti rozhodnutiu rozhodne predseda úradu v zákonom stanovenej lehote.

čl. I § 97 a k § 98 §
Ustanovenie upravuje spôsob ukončenia kontroly, ktorej výsledkom je protokol so zákonom taxatívne stanovenými náležitosťami, ak sa kontrolou zistí porušenie zákona alebo záznam o kontrole, ak sa kontrolou nezistí porušenie zákona. Protokol a jeho prílohy, tak ako aj dodatok k protokolu tvoria celok. Kontrolovaná osoba sa s kontrolnými zisteniami v protokole má právo oboznámiť a môže sa k nim vyjadriť formou podania námietok v zákonom stanovenej lehote, nie je to jej povinnosť. V prípade, že námietky v zákonom stanovenej lehote neposkytne, má sa zato, že nemá námietky ku kontrolným zisteniam uvedeným v protokole. Podané námietky, ako aj prípadné nové skutočnosti úrad posúdi v zákonom stanovenej lehote a vyjadrí sa k nim formou dodatku k protokolu. Kontrolný orgán je povinný neprípustnosť námietok kontrolovanej osoby v dodatku zdôvodniť. O výsledku preskúmania námietok je povinný kontrolný orgán kontrolovanú osobu vyrozumieť písomne v zákonom stanovenej lehote. Ak sa kontrolovaná osoba odmietne oboznámiť s obsahom protokolu, vyjadriť sa ku kontrolným zisteniam alebo podpísať protokol, nemá to …

čl. I § 99 až k § 103 §
Stanovujú účel a charakteristiku konania o ochrane osobných údajov. Účelom konania o ochrane osobných údajov je zistiť a preveriť či došlo k porušeniu práv fyzických osôb pri spracúvaní ich osobných údajov a v prípade zistenie porušenia a nedostatkov, ak je to dôvodené a účelné uložiť opatrenia na nápravu, prípadne pokutu. Konanie prebieha neverejne. Účastníkom konania môže byť dotknutá osoba, prevádzkovateľ, sprostredkovateľ, certifikačný a monitorujúci subjekt. V prípade, ak sa návrh na začatie konania týka prevádzkovateľa alebo sprostredkovateľa, kde príslušným orgánom je dozorný orgán, alebo vedúcim orgán je dozorný orgán iného členského štátu úrad v takom prípade postupuje v konaní podľa nariadenia. Konanie sa začína na návrh dotknutej, alebo inej osoby tvrdiacej, ktorá tvrdí, že je dotknutá na svojich právach, alebo sa konanie začína bez návrhu. Ak návrh úradu doručí iná osoba ako dotknutá, návrh za považuje za podnet na začatie konania bez návrhu. Na posúdenie podnetu má úrad 30 od jeho doručenia, ak podnet neodloží začne konanie o ochrane osobných …

čl. I § 104 až k § 106 §
Za porušenie povinností ustanovených týmto zákon a nariadením možno diferencovane, podľa závažnosti, rozsahu a času trvania, následkov protiprávneho konania, prípadného opakovania takéhoto protiprávneho konania a miery ohrozenia súkromného a rodinného života, počtu dotknutých osôb a iných faktorov, ktoré musí brať úrad do úvahy uložiť pokutu a poriadkovú pokutu. K uloženiu pokuty úrad môže pristúpiť a ukladá ju jednorazovo, poriadkovú pokutu môže uložiť aj opakovane. Stanovujú sa premlčacie lehoty na ukladanie pokút a poriadkových pokút. Pokuty aj poriadkové pokuty sú príjmom štátneho rozpočtu. Pokuty úrad môže uložiť na základe tohto zákona za správne delikty alebo za nesplnenie úradom uloženého opatrenia. Úrad môže uložiť aj poriadkovú pokutu, a to inej osobe ako prevádzkovateľovi alebo prevádzkovateľovi, či sprostredkovateľovi, prípadne ich zástupcom.

čl. I § 107 až k § 109 §
Stanovuje sa na ktoré konania podľa tohto zákona sa použije všeobecný predpis o správnom konaní a na ktoré sa nepoužije. ustanovuje sa, v ktorých prípadoch všeobecne záväzný právny predpis na vykonanie ustanovení tohto zákona. Ustanovuje sa povinnosť poskytnúť súčinnosť úradu pri výkone jeho úloh a právomocí a pri výkone dozoru nad dodržiavaním povinností podľa tohto zákona alebo nariadenia a na základe rozhodnutí úradom vydaných, ktorá je všeobecná. Týmto stanovením súčinnosti nie je dotknutá povinnosť poskytovať súčinnosť pri výkone kontroly podľa tohto zákona.

čl. I § 110 a k § 111 §
Navrhované ustanovenia sú prechodnými ustanoveniami, v rámci ktorých je potrebné sa vysporiadať s úradom a jeho funkcionármi novou právnou úpravou ochrany osobných údajov oproti súčasne platnej právnej úprave vo vzťahu k právam a povinnostiam prevádzkovateľov a sprostredkovateľov, ako aj príslušných orgánov. Je taktiež potrebné sa vysporiadať s konaniami, ktoré boli začaté pred účinnosťou tohto zákona a stanoviť, podľa akých právnych predpisov budú dokončené. V prílohe sa uvádza, ktoré právne záväzné akty Európskej únie sa týmto navrhovaným zákonom preberajú.

čl. I § 112 §
Ustanovenie uvádza, ktoré všeobecne záväzné právne predpisy sa s nadobudnutím účinnosti tohto zákona zrušujú.

čl. II
Návrhom zákona dochádza aj k transpozícii smernice 2016/680 a keďže Vojenská polícia je jedným z príslušným orgánov v zmysle tejto smernice a bude sa na ňu vzťahovať štvrtá časť zákona (Osobitné pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi), navrhuje sa zo zákona Národnej rady Slovenskej republiky č. 124/1992 Zb. o Vojenskej polícii v znení neskorších predpisov vypustiť, resp. upraviť ustanovenia, ktoré by boli duplicitné k právnej úpravy podľa predloženého návrhu zákona o ochrane osobných údajov.

čl. III
Návrhom zákona dochádza aj k transpozícii smernice 2016/680 a keďže Policajný zbor je jedným z príslušným orgánov v zmysle tejto smernice a bude sa naňho vzťahovať štvrtá časť zákona (Osobitné pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi), navrhuje sa zo zákona Národnej rady Slovenskej republiky č. 171/1993 Z. z. o Policajnom zbore v znení neskorších predpisov vypustiť, resp. upraviť ustanovenia, ktoré by boli duplicitné k právnej úpravy podľa predloženého návrhu zákona o ochrane osobných údajov.

čl. IV
Navrhovaná právna úprava priamo súvisí s článkom 40 až 43 nariadenia, ktoré stanovujú postup certifikácie a jej sledovania a postup vypracúvania kódexov správania a ich sledovania ako prostriedok zvýšenia bezpečnosti spracúvania osobných údajov u prevádzkovateľov alebo sprostredkovateľov. Dodržiavanie schválených kódexov správania a dodržiavanie a monitorovanie subjektov s udelenou certifikáciou bude pre prevádzkovateľa alebo pre sprostredkovateľa možnosť, ako deklarovať súlad s týmto zákonom a s nariadením. Nakoľko v tomto procese bude mať zodpovednosť aj úrad za schválenie kódexov správania a udelenie monitorovacích právomocí subjektom je potrebné, aby bola zohľadnená časová náročnosť celého tohto procesu, čo sa zohľadní vo výške a rozsahu vyberaných správnych poplatkov. Zavedenie poplatkov predpokladá úpravu zákona č. 145/1995 Z. z. o správnych poplatkoch v znení neskorších právnych predpisov, kde sa navrhuje XXIII Časť „Ochrana osobných údajov“ zmeniť tak, ako je navrhované.

čl. V
Návrhom zákona dochádza aj k transpozícii smernice 2016/680 a keďže Zbor väzenskej a justičnej stráže je jedným z príslušným orgánov v zmysle tejto smernice a bude sa naňho vzťahovať štvrtá časť zákona (Osobitné pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi), navrhuje sa zo zákona č. 4/2001 Z. z. o Zbore väzenskej a justičnej stráže v znení neskorších predpisov vypustiť, resp. upraviť ustanovenia, ktoré by boli duplicitné k právnej úpravy podľa predloženého návrhu zákona o ochrane osobných údajov.

čl. VI
Návrhom zákona dochádza aj k transpozícii smernice 2016/680 a keďže prokuratúra je jedným z príslušným orgánov v zmysle tejto smernice a bude sa na ňu vzťahovať štvrtá časť zákona (Osobitné pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi), navrhuje sa zo zákona č. 153/2001 Z. z. o prokuratúre v znení neskorších predpisov vypustiť, resp. upraviť ustanovenia, ktoré by boli duplicitné k právnej úpravy podľa predloženého návrhu zákona o ochrane osobných údajov.

čl. VII
Návrhom nového zákona o ochrane osobných údajov dôjde aj k úprave práv dotknutej osoby, ktoré boli posilnené a ktoré dotknutej osobe dávajú možnosť požadovať od prevádzkovateľa informácie aké osobné údaje o dotknutej osobe spracúva, prípadne, komu boli získané osobné údaje poskytnuté. Ustanovenie § 92a ods. 5 zákona č. 483/2001 Z. z. o bankách a o zmene a doplnení niektorých zákonov je totožné svojím obsahom s právom dotknutej osoby – fyzickej osoby podľa § 22 tohto zákona; vo vzťahu k dotknutým osobám – právnickým osobám klientom banky, toto ustanovenie zostalo zachované. Vypustenie je tiež navrhované z dôvodu zosúladenia právnych predpisov Slovenskej republiky s nariadením. Na účely spresnenia uvedenia spracúvania osobných údajov bankou, ako prevádzkovateľom, bolo doplnené spracúvanie fotografie dotknutej osoby v prípade, ak sa spracúva doklad jej totožnosti na účely stanovené v zákone o bankách.

čl. VIII

čl. VIII bod 1 a 2 (§ 2 písm. b) a f))
V rámci definícií sa zavádza pojem predikcia viditeľných fenotypových prejavov, ktorá nadväzuje na rozšírenie definície analýzy deoxyribonukleovej kyseliny. Zavedením definície sa reaguje na možnosť, v presne vyšpecifikovaných prípadoch, využiť najnovšie technologické postupy, ktoré už v súčasnej dobe umožňujú zistiť aj informácie ohľadom farby očí, farby vlasov alebo pigmentácie pokožky, ktoré môžu významným spôsobom zúžiť potencionálnu skupinu páchateľov závažných trestných činov alebo bližšie identifikovať mŕtvolu neznámej totožnosti alebo častí ľudského tela.

čl. VIII bod 3
Aktualizuje sa poznámka pod čiarou.

čl. VIII bod 4 (§ 3 ods. 1 písm. a))
Navrhovaná zmena zohľadňuje súčasný stav, keď Železničná polícia bola začlenená do Policajného zboru a preto jej uvádzanie v zákone je nadbytočné. Z rovnakého dôvodu sa navrhuje vypustenie poznámky pod čiarou k odkazu 3, týkajúcej sa zrušeného zákona č. 57/1998 Z. z. o Železničnej polícii.

čl. VIII bod 5 (§ 3 ods. 3)
Upravuje sa text vzhľadom na zaradenie Železničnej polície do Policajného zboru a zmenu Trestného poriadku, podľa ktorého súd nie je orgánom činným v trestnom konaní. Zároveň sa navrhuje priznať kompetenciu odoberania vzoriek deoxyribonukleovej kyseliny aj príslušníkom Zboru väzenskej a justičnej stráže. Príslušníci Zboru väzenskej a justičnej stráže podľa § 21b zákona č. 4/2001 Z. z o Zbore väzenskej a justičnej stráže síce nemajú oprávnenie na odoberanie vzoriek deoxyribonukleovej kyseliny, ale túto kompetenciu im môže zákonodarca zveriť priamo zákonom č. 417/2002 Z. z. tak, ako je to v prípade príslušníkov Policajného zboru, ktorí v zmysle § 20a zákona o Policajnom zbore tiež nie sú splnomocnení odoberať vzorku deoxyribonukleovej kyseliny osobám vo výkone trestu odňatia slobody, túto kompetenciu im priznáva priamo zákon č. 417/2002 Z. z. Analogicky to platí pre všetky orgány činné v trestnom konaní, ktoré na odoberanie vzorky deoxyribonukleovej kyseliny splnomocňuje priamo zákon č. 417/2002 Z. z., hoci príslušné zákony im takéto oprávnenie nepriznávajú (napr. § 21b zákona č. 4/2001 …

čl. VIII bod 6 (§ 4 ods. 2)
V § 4 sa navrhuje za odsek 1 vložiť nový odsek 2, v ktorom sa špecifikujú podmienky využitia predikcie viditeľných fenotypových prejavov, presne sa definujú závažné prípady odkazom pod čiarou 5b, ktorým sa odkazuje na § 11 ods. 3 Trestného zákona, ako aj trestných činov proti životu a zdraviu, trestných činov proti slobode a ľudskej dôstojnosti, čím sa vymedzuje okruh trestných činov, pri ktorých bude možné túto analýzu žiadať. Zároveň sa zavádza kumulatívna podmienka, že toto vyšetrenie môže byť vykonané len za podmienky, že nebola zistená zhoda v národnej databáze profilov deoxyribonukleovej kyseliny, ako aj v medzinárodných databázach profilov deoxyribonukleovej kyseliny členských štátov EÚ, s ktorými si Slovenská republika vymieňa údaje na základe rozhodnutia Rady (ES) 2008/616/SVV z 23. júna 2008 o vykonávaní rozhodnutia 2008/615/SVV o zintenzívnení cezhraničnej spolupráce, najmä v boji proti terorizmu a cezhraničnej trestnej činnosti.

čl. VIII bod 7 (§ 4 ods. 3)
Návrhom sa reaguje na rozhodnutie Rady 2008/616/SVV, kde sa v čl. 7 ods. 1 uvádza, že „členské štáty využívajú pre výmenu údajov o DNA existujúce normy, ako napríklad európsky štandardný súbor (ESS)“. Európsky štandardný súbor (ESS) bol vydaný v prílohe uznesenia Rady z 30. novembra 2009 o výmene výsledkov analýzy DNA (Ú. v. EÚ C 296/1 – 3, 5. decembra 2009). Na základe uvedeného sa tiež mení príloha č. 1.

čl. VIII bod 8 (§ 4 ods. 4)
V rámci tejto úpravy sa implementuje rozhodnutie Rady 2008/616/SVV z 23. júna 2008 o vykonávaní rozhodnutia 2008/615/SVV o zintenzívnení cezhraničnej spolupráce, najmä v boji proti terorizmu a cezhraničnej trestnej činnosti, kde sa v čl. 7 sa ukladá členským štátom povinnosť prijať opatrenia potrebné na zabezpečenie integrity profilov DNA poskytovaných alebo zaslaných na porovnávanie iným členským štátom a na zabezpečenie toho, aby tieto opatrenia spĺňali medzinárodné normy ako napríklad EN ISO/IEC 17025 – všeobecné požiadavky na kompetentnosť skúšobných a kalibračných laboratórií. Z tohto uvedeného dôvodu navrhujeme, aby sa všetkým poskytovateľom forenzných služieb, ktorých služby sú využívané pre účely trestného konania, uložila povinnosť používať akreditované postupy.

čl. VIII bod 9 (§ 4 ods. 4 písm. a))
Znalci fyzické osoby a právnické osoby ako znalecké organizácie alebo znalecké ústavy sú podľa platnej právnej úpravy zapísané v zozname znalcov, tlmočníkov a prekladateľov, vedenom Ministerstvom spravodlivosti Slovenskej republiky na základe zákona č. 382/2004 Z. z. o znalcoch, tlmočníkoch a prekladateľoch a o zmene a doplnení niektorých zákonov v znení neskorších predpisov v oddiele na zápis znalcov. Kriminalistický a expertízny ústav Prezídia Policajného zboru je zapísaný ako znalecký ústav v odbore kriminalistika. Navrhovaná zmena aktualizuje použité pojmy a dáva do súladu znenie zákona so súčasným právnym stavom. „Zoznam ústavov a iných pracovísk špecializovaných na znaleckú činnosť“, uvedený v § 4 ods. 3 písm. a), sa viedol podľa zákona č. 36/1967 Zb. o znalcoch a tlmočníkoch, ktorý bol zrušený. Z týchto dôvodov sa navrhuje aj zmena poznámky pod čiarou k odkazu 6.

čl. VIII bod 10 (§ 4 ods. 5)
Upravuje sa text vzhľadom na zaradenie Železničnej polície do Policajného zboru a zmenu Trestného poriadku, podľa ktorého súd nie je orgánom činným v trestnom konaní.

čl. VIII bod 11 (§ 4 ods. 8)
Zmenou vnútorného odkazu sa reaguje na prečíslovanie odsekov v § 4.

čl. VIII bod 12 (§ 5 ods. 3 písm. b) druhý bod)
Upravuje sa rozsah požadovaných informácií, ktoré majú byť predložené spolu so vzorkou biologického materiálu, z ktorého ma byť metódami molekulárnej biológie a genetiky získaný DNA profil.

čl. VIII bod 13 (Poznámka pod čiarou k odkazu 7)
Navrhovaná zmena rešpektuje aktuálnu právnu úpravu, podľa ktorej osobitnými predpismi upravujúcimi postup pri poskytovaní údajov z databázy obsahujúcej profily deoxyribonukleovej kyseliny sú zákon o Policajnom zbore a zákon o ochrane osobných údajov.

čl. VIII bod 14 (§ 8 ods. 1)
Dôvodom likvidácie údajov osôb z databázy vzoriek profilov DNA povereným útvarom je aj zastavenie trestného stíhania v prípravnom konaní z dôvodu, že je nepochybné, že sa nestal skutok, pre ktorý sa vedie trestné stíhanie, alebo že nie je tento skutok trestným činom a nie je dôvod na postúpenie veci. Navrhovaná zmena dáva do súladu vymenované dôvody s ustanoveniami Trestného poriadku tak ako sú uvedené v § 215 ods. 1 písm. a) a b). Tieto dôvody sa týkajú len zastavenia trestného stíhania vedeného vo veci, keď vyšetrovaný skutok nie je možné kvalifikovať ako trestný čin. Návrh rozširuje dôvod likvidácie údajov z databázy povereným útvarom aj o prípad, kedy sa vyšetrovaním zistí, že vyšetrovaný skutok sa stal a tento skutok je trestným činom a trestné stíhanie je vedené proti obvinenému, pričom je v prípravnom konaní prokurátorom toto trestné stíhanie zastavené podľa § 215 ods. 1 písm. c) Trestného poriadku z dôvodu, že bez pochybností sa zistí, že skutok nespáchal obvinený. Po zastavení …

čl. VIII bod 15 (§ 8 ods. 3)
Doterajšia právna úprava vychádza z neplatného zákona č. 141/1961 Zb. o trestnom konaní súdnom (Trestný poriadok), v ktorom bol podľa § 12 ods. 1 orgánom činným v trestnom konaní aj súd. Podľa § 8 ods. 3 má orgán činný v trestnom konaní, ktorý skončil trestné konanie týkajúce sa osoby, ktorej profil deoxyribonukleovej kyseliny je uložený v databáze, povinnosť o tejto skutočnosti do troch pracovných dní od skončenia trestného konania informovať poverený útvar. Podľa platného Trestného poriadku súd nie je orgánom činným v trestnom konaní a preto v navrhovanej zmene sa súd uvádza osobitne ako subjekt, ktorý má tiež oznamovaciu povinnosť podľa § 8 ods. 3 zákona.

čl. VIII bod 16
Zmena prílohy č. 1 súvisí so zmenami v bode 6 (§ 4 ods. 3).

čl. VIII bod 17
V prílohe č. 2 sa zadefinoval nový formát oznamu o výsledku analýzy deoxyribonukleovej kyseliny, ktorý zohľadňuje navrhované zmeny v zákone.

čl. IX
V súvislosti s procesom nakladania s jadrovými materiálmi je Slovenská republika viazaná plnením medzinárodných záväzkov vo vzťahu k ich kontrole a deklarácii, či nie sú využívané na iné, ako na mierové účely. Účelom systému evidencie a kontroly jadrových materiálov, tzv. zárukový systém, je zabrániť zneužívaniu jadrových materiálov, nezákonnému nakladaniu s nimi, zisťovať straty jadrových materiálov a poskytovať informácie, ktoré by mohli viesť k ich nájdeniu, a to nielen na národnej ale i medzinárodnej úrovni. Po vstupe Slovenskej republiky do Európskej únie sa v Slovenskej republike začal uplatňovať systém tzv. integrovaných záruk medzi Európskym spoločenstvom pre atómovú energiu, Medzinárodnou agentúrou pre atómovú energiu a príslušným členským štátom. Za týmto účelom je potrebné zabezpečiť vstup určeným medzinárodným inšpektorom do jadrových zariadení v Slovenskej republike na vykonanie medzinárodnej inšpekcie. Medzinárodní inšpektori sú menovaní na základe ustanovení v Dohode medzi Belgickým kráľovstvom, Dánskym kráľovstvom, Spolkovou republikou Nemecko, Írskou republikou, Talianskou republikou, Luxemburským veľkovojvodstvom, Holandským kráľovstvom, Európskym spoločenstvom pre atómovú energiu a Medzinárodnou agentúrou pre …

čl. IX bod 1
Ide o zosúladenie ustanovení § 26 atómového zákona s prijatým nariadením. Ustanovenie rieši sprístupnenie ako aj spracúvanie osobných údajov dotknutých osôb so zadefinovaním rozsahu osobných údajov a uvedením predkladaných povinných dokumentov na účel plnenia zákonnej povinnosti držiteľa povolenia spočívajúcej v kontrole vstupov a výstupov osôb do a z jadrového zariadenia.

čl. IX bod 2
Ide o precizovanie právnej úpravy, u ktorých osôb, ktoré vstupujú alebo vystupujú do a z jadrového zariadenia, je možné spracovávať osobné údaje a za akým účelom. Vzhľadom na prepojenie s § 26 ods. 6 sa už rozsah osobných údajov dotknutých osôb neopakuje, ale len odkazuje na dané ustanovenie. Zároveň sa definuje oprávnenie úradu poskytnúť osobné údaje dotknutých osôb držiteľovi povolenia. Pokiaľ ide o inšpektorov a inšpektorov - čakateľov, ide o osobné údaje štátnych zamestnancov zmysle zákona č. 400/2009 Z. z. o štátnej službe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov, ktoré úrad poskytuje držiteľovi povolenia na účely plnenia zákonných povinností v oblasti fyzickej ochrany. Ohľadom medzinárodných inšpektorov príslušné ustanovenie odráža požiadavku spracovávať osobné údaje vymenovaných medzinárodných inšpektorov, ktorých zoznamy sú pravidelne aktualizované a zasielané členským štátom medzinárodnými organizáciami (Európska komisia, Medzinárodná agentúra pre atómovú energiu), aby bol zabezpečený ich vstup do jadrových zariadení v Slovenskej republike s cieľom vykonať medzinárodnú inšpekciu podľa § 33 atómového zákona, …

čl. X
Návrhom zákona dochádza aj k transpozícii smernice 2016/680 a keďže finančná správa je jedným z príslušným orgánov v zmysle tejto smernice a bude sa na ňu vzťahovať štvrtá časť zákona (Osobitné pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi), navrhuje sa zo zákona č. 652/2004 Z. z. o orgánoch štátnej správy v colníctve v znení neskorších predpisov vypustiť, resp. upraviť ustanovenia, ktoré by boli duplicitné k právnej úpravy podľa predloženého návrhu zákona o ochrane osobných údajov.

čl. XI
Návrhom zákona dochádza aj k transpozícii smernice 2016/680 a keďže súdy sú jedným z príslušným orgánov v zmysle tejto smernice a bude sa na nich vzťahovať štvrtá časť zákona (Osobitné pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi), navrhuje sa zo zákona č. 757/2004 Z. z. o súdoch v znení neskorších predpisov vypustiť, resp. upraviť ustanovenia, ktoré by boli duplicitné k právnej úpravy podľa predloženého návrhu zákona o ochrane osobných údajov.

čl. XII
Návrhom nového zákona o ochrane osobných údajov dôjde aj k úprave práv dotknutej osoby, ktoré boli posilnené a ktoré dotknutej osobe dávajú možnosť požadovať od prevádzkovateľa informácie aké osobné údaje o dotknutej osobe spracúva, prípadne, komu boli získané osobné údaje poskytnuté. Ustanovenie § 7 ods. 13 zákona č. 129/2010 Z. z. o spotrebiteľských úveroch a o iných úveroch a pôžičkách pre spotrebiteľov a o zmene a doplnení niektorých zákonov je totožné svojím obsahom s navrhovaným § 22 a § 23 zákona, preto sa navrhuje jeho vypustenie. Vypustenie je tiež navrhované z dôvodu harmonizácie právnych predpisov Slovenskej republiky s nariadením. Aj napriek vypusteniu ustanovenia z textu zákona o spotrebiteľských úveroch práva pre klientov, spotrebiteľov fyzické osoby zostávajú zachované, ale v rámci nariadenia alebo v rámci návrhu zákona.

čl. XIII
Návrhom nového zákona o ochrane osobných údajov dôjde aj k úprave práv dotknutej osoby, ktoré boli posilnené a ktoré dotknutej osobe dávajú možnosť požadovať od prevádzkovateľa informácie aké osobné údaje o dotknutej osobe spracúva, prípadne, komu boli získané osobné údaje poskytnuté. Ustanovenie § 72 ods. 13 zákona č. 39/2015 Z. z. o poisťovníctve a o zmene a doplnení niektorých zákonov je totožné svojím obsahom s navrhovaným § 22 a 23 návrhu zákona, preto sa navrhuje jeho vypustenie. Vypustenie je tiež navrhované z dôvodu harmonizácie právnych predpisov Slovenskej republiky s nariadením. Aj napriek vypusteniu ustanovenia z textu zákona o poisťovníctve práva pre klientov, spotrebiteľov fyzické osoby zostávajú zachované, ale v rámci nariadenia alebo v rámci návrhu zákona.

čl. XIV
Článok upravuje navrhovaný termín účinnosti zákona, a to 25. máj 2018. Príloha k zákonu: ZOZNAM PREBERANÝCH PRÁVNE ZÁVäZNÝCH AKTOV EURÓPSKEJ ÚNIE V Bratislave, 20. septembra 2017 Robert Fico, v.r. predseda vlády Slovenskej republiky Soňa Pőtheová, v.r. predsedníčka Úradu na ochranu osobných údajov Slovenskej republiky

čl. XIV (zákon č. 18/2018 Z. z.)
V nadväznosti na čl. I bod 14, ktorým sa navrhuje zveriť zabezpečovanie koordinácie a tvorby štátnej politiky v oblasti ochrany osobných údajov Ministerstvu spravodlivosti Slovenskej republiky, navrhuje sa ustanoviť Úradu na ochranu osobných údajov povinnosť poskytovať Ministerstvu spravodlivosti Slovenskej republiky súčinnosť pri zabezpečovaní koordinácie a tvorby štátnej politiky v oblasti ochrany osobných údajov.

čl. III
V čl. III sa navrhuje novelizácia zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení zákonov v znení neskorších predpisov.

čl. III bod 1 až 5 §
Právna úprava ochrany osobných údajov zosnulých osôb sa v aplikačnej praxi ukázala ako neefektívna, neprimerane zaťažujúca a nad rámec nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016) (ďalej len ako „nariadenie GDPR“), pričom v praxi dochádza k nejasnostiam, ako je túto úpravu potrebné aplikovať, a preto neprináša želaný efekt. Medzi tieto nejasnosti patrí napríklad otázka, kto môže uplatňovať práva dotknutej osoby ako právo na prístup alebo právo podať návrh na začatie konania o ochrane osobných údajov, prípadne nejasnosti súvisiace s neposkytnutím súhlasu čo i len jednou blízkou osobou. Len niekoľko členských štátov má upravenú ochranu osobných údajov zosnulých osôb. Navrhovaná úprava preto mení rozsah pôsobnosti zákona, z ktorej sa vyníma okruh osobných údajov zosnulých osôb. Navrhovaná úprava je súladná s odôvodnením bodu 27 preambuly nariadenia GDPR, podľa …

čl. IV
(Zákon č. 18/2018 Z. z.)

čl. IV bod 1 §
Doplnenie § 3 ods. 3 o odkaz na Ministerstvo spravodlivosti Slovenskej republiky predstavuje doplnenie transpozičného deficitu z hľadiska komplexného vnímania záberu smernice Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 4.5.2016). Zohľadnenie pôsobnosti a aktivít v oblasti trestného konania, resp. justičnej spolupráce v trestných veciach podradených pod úpravu uvedenú v tomto odseku aj s dopadmi na ochranu osobných údajov je preto opodstatnené.

čl. IV bod 2 §
Ustanovenie § 74 sa dopĺňa o nový odsek 4, ktorý obsahuje ustanovenie o ochrane informácií, ktorá zodpovedá medzinárodným záväzkom v tejto oblasti a odkazuje na príslušné ustanovenie návrhu zákona o medzinárodnej justičnej spolupráci v trestných veciach.

čl. IV bod 3 §
Navrhuje sa, aby dotknutá osoba mala právo byť informovaná o konkrétnom účele spracúvania osobných údajov, ak by poskytnutie tejto informácie neohrozilo účel trestného konania. Ide o všeobecné pravidlo o spracovaní osobných údajov podľa Smernice Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 4.5.2016).

čl. IV bod 4
Príloha k zákonu sa dopĺňa druhým bodom, ktorým sa rozširuje zoznam preberaných právne záväzných aktov Európskej únie.